Apple исправила ошибку браузера «0-day», исправленную 2 недели назад в Chrome, Edge

Apple выпустила свои последние исправления, устраняющие более 50 уязвимостей безопасности с номером CVE в ряде поддерживаемых продуктов.

Соответствующие бюллетени по безопасности, номера обновлений и места, где их можно найти в Интернете, приведены ниже:

• ЯБЛОКО-SA-2022-07-20-1: iOS 15.6 и iPadOS 15.6, подробности на HT213346
• ЯБЛОКО-SA-2022-07-20-2: macOS Монтерей 12.5, подробности на HT213345
• ЯБЛОКО-SA-2022-07-20-3: macOS Биг Сюр 11.6.8, подробности на HT213344
• ЯБЛОКО-SA-2022-07-20-4: Обновление безопасности 2022-005 Каталина, подробности на HT213343
• ЯБЛОКО-SA-2022-07-20-5: твОС 15.6, подробности на HT213342
• ЯБЛОКО-SA-2022-07-20-6: watchOS 8.7, подробности на HT213340
• ЯБЛОКО-SA-2022-07-20-7: Сафари 15.6, подробности на HT213341

Как обычно у Apple, патчи для браузера Safari включены в обновления для последней версии macOS (Monterey), а также в обновления для iOS и iPad OS.

Но обновления для более старых версий macOS не включают Safari, поэтому отдельное обновление Safari (см. HT213341 выше) поэтому относится к пользователям предыдущих версий macOS (как Big Sur, так и Catalina по-прежнему официально поддерживаются), которым потребуется загрузить и установить два обновления, а не одно.

Почетный нулевой день

Кстати, если у вас Mac с более ранней версией macOS, не забудьте про вторую загрузку для Safari, потому что это жизненно важно, по крайней мере, насколько мы можем видеть.

Это связано с тем, что один из патчей, связанных с браузером, в этом раунде обновлений касается уязвимости в WebRTC (веб-коммуникации в режиме реального времени) известный как CVE-2022-2294...

…и если это число звучит знакомо, оно должно быть, потому что это та же самая ошибка, которая была фиксируется как нулевой день Google в Chrome (и Microsoft в Edge) около двух недель назад:

Любопытно, что Apple не объявляла ни одну из уязвимостей этого месяца «ошибками нулевого дня», несмотря на вышеупомянутый патч, который Google окрестил дырой нулевого дня.

Является ли это тем, что эту ошибку не так легко использовать в Safari, или просто потому, что никто не проследил какое-либо неправильное поведение Safari до этой конкретной уязвимости, мы не можем вам сказать, но мы относимся к ней как к «почетной ошибке». уязвимость нулевого дня» и, как результат, усердно исправляя ее.

Pwn2Собственная дыра закрыта

Apple также, по-видимому, исправила ошибку, обнаруженную немецким исследователем кибербезопасности Манфредом Полом на недавнем соревновании Pwn2Own в Канаде еще в мае 2022 года.

Последний подкаст 🎧 Слушайте прямо сейчас! Firefox и Pwn2Own, Apple и 0-day… и математика, победившая Пифагора.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Голая безопасность (@NakedSecurity) 20 мая 2022

Манфред Пол использовал Firefox с двухэтапной ошибкой, которая принесла ему 100,000 50,000 долларов (по 50,000 XNUMX долларов за каждую часть), а также проник в Safari, получив еще XNUMX XNUMX долларов.

Действительно, Mozilla опубликовала исправление ошибок Пола. в течение двух дней получения его отчета на Pwn2Own:

Apple, напротив, потребовалось два месяца, чтобы доставить патч после Pwn2Own:

WebKit

Влияние: Обработка вредоносного веб-контента может привести к выполнению произвольного кода.

Описание: Проблема записи за пределами буфера устранена путем улучшенной проверки ввода.

CVE-2022-32792: Манфред Пол (@_manfp), работающий с Trend Micro Zero Day Initiative [Pwn2Own]

Помните, однако, что ответственное раскрытие информации является частью конкурса Pwn2Own, а это означает, что любой, кто претендует на приз, должен не только передать полную информацию о своем эксплойте пострадавшему поставщику, но и хранить молчание об уязвимости, пока не будет выпущено исправление. .

Другими словами, каким бы похвальным и захватывающим ни было двухдневное время доставки патча Mozilla, гораздо более медленная реакция Apple, тем не менее, приемлема.

Прямые видеопотоки, которые вы, возможно, видели с Pwn2Own, служили для того, чтобы показать, была ли атака каждого конкурента успешной, а не для раскрытия какой-либо информации о том, как на самом деле работала атака. Видеодисплеи, используемые участниками, были обращены к камере спиной, поэтому вы могли видеть лица участников и судей, но не то, что они печатали или на что смотрели.

Многоэтапные атаки

Как обычно, многочисленные ошибки, исправленные Apple в этих обновлениях, включают уязвимости, которые теоретически могут быть объединены в цепочку решительными злоумышленниками.

Ошибка указана с оговоркой, что «приложение с привилегиями root может выполнять произвольный код с привилегиями ядра» поначалу звучит не очень тревожно.

В конце концов, если у злоумышленника уже есть root-права, он все равно в значительной степени контролирует ваш компьютер.

Но когда вы заметите ошибку где-то в системе, которая указана с предупреждением о том, что «приложение может получить root-права», вы можете видеть, как последняя уязвимость может быть удобной и неавторизованной ступенькой к первой.

И когда вы также заметите ошибку рендеринга изображения, описанную как «обработка вредоносного файла может привести к выполнению произвольного кода», вы можете быстро увидеть, что:

• Веб-страница-ловушка может содержать изображение, запускает ненадежный код.
• Этот ненадежный код может внедрить приложение с низким уровнем привилегий.
• Нежелательное приложение может получить корневые полномочия для себя.
• Теперь приложение root может внедрить свой собственный мошеннический код в ядро.

Другими словами, по крайней мере теоретически, просто глядя на, казалось бы, невинный веб-сайт…

… может навлечь на вас целый каскад неприятностей, как в известной поговорке: «Из-за отсутствия гвоздя потерялся башмак; из-за отсутствия подков лошадь потерялась; из-за отсутствия лошади сообщение было потеряно; из-за отсутствия сообщения битва была проиграна... и все из-за отсутствия гвоздя для подковы».

Что делать?

Вот почему, как всегда, мы рекомендуем устанавливать патчи заранее; патч часто; патчить все.

Apple, к ее чести, делает исправление всего по умолчанию: вы не можете выбирать, какие исправления устанавливать, а какие оставить «на потом».

Единственным исключением из этого правила, как мы отметили выше, является то, что для macOS Big Sur и macOS Catalina вы получите большую часть обновлений операционной системы в одной гигантской загрузке, за которой следует отдельный процесс загрузки и обновления для установки последняя версия сафари.

По-прежнему:

• На вашем iPhone или iPad: Настройки > Общие > Обновление ПО
• На вашем Mac: Меню Apple > Об этом Mac > Обновление программного обеспечения…

---