Обновления к истории обновлений Apple нулевого дня — это читают пользователи iPhone и iPad!

Постоянные читатели знают две вещи о нашем отношении к исправлениям безопасности Apple:

• Мы хотели бы получить их, как только мы можем. Будь то обновление полной версии, которое также включает в себя кучу исправлений безопасности, или точечный выпуск (тот, в котором крайний левый номер версии не меняется) с основной целью исправления ошибок, а не добавления новых функций, мы бы предпочли ошибиться. сторону применения известных исправлений безопасности, чем оставлять наши устройства с дырами, о которых теперь знают злоумышленники, даже если они еще не знают, как их использовать.
• Тем не менее, бюллетени Apple очень часто сбивают с толку. Например, вы никогда не знаете, где находитесь, если застряли на версии, которая на этот раз не получила обновления.

Последние бюллетени безопасности Apple, которые вышли ранее на этой неделе, по-видимому, иллюстрируют, как компания иногда, кажется, увеличивает путаницу, говоря слишком мало… что не всегда является хорошей альтернативой тому, чтобы узнать слишком много:

Возникающая путаница

На основании запросов и комментариев, которые мы получили от читателей за последние несколько дней, возникла следующая путаница:

• Почему в одном бюллетене по безопасности описаны обновления iOS 16.1 и iPadOS 16? Мы знаем, что iPadOS 16 была отложена, поэтому это недавнее обновление означало, что iPadOS теперь исправляется только до того же уровня безопасности, что и iOS 16, которая вышла более месяца назад, в то время как iOS продвинулась до 16.1, таким образом оставив iPadOS более пять недель по течению с точки зрения кибербезопасности?
• Почему iPadOS 16 в конечном итоге сообщила о себе как о версии 16.1? (Спасибо Стефану из Бельгии за скриншоты процесса обновления iPad и их отправку.) После обновления About на экране, по-видимому, написано iPadOS 16, как и в бюллетене по безопасности, в то время как iPadOS Version экран явно говорит 16.1. Похоже, что iPhone и iPad теперь не только поддерживают «семейство версий, известное как 16», но и оба имеют самые последние исправления безопасности, так почему бы просто не называть их обоих версией 16.1 везде для ясности, в том числе в бюллетене по безопасности. и на About экран?
• Куда делась macOS 10 Catalina? Традиционно Apple прекращает поддержку macOS версии X-3, когда выходит версия X, но это фактическое объяснение того, почему macOS 11 Big Sur и macOS 12 Monterey (версии X-2 и X-1 соответственно) получили обновления, а Catalina — нет. т?
• Что случилось с iOS/iPadOS 15.7.1? Когда iOS 16 вышло в сентябре 2022 года предыдущее семейство версий также получило критические обновления, доведя его до версии 15.7. Это включало критическое исправление, чтобы закрыть дыра нулевого дня на уровне ядра находится под активной эксплуатацией, что часто переводится как «кто-то там прокрадывает шпионское ПО на айфоны, ребята». Итак, учитывая, что iOS 16.1 включала Отзывы другой еще исправление нулевого дня ядра, возможно, перекрывающее путь, который используют еще больше шпионских программ, где был соответствующий патч для семейства iOS / iPadOS 15, который, по аналогии, вы бы предположили, что это 15.7.1?

Как мы сказали в вчерашний подкаст, столкнувшись с четвертым вопросом заинтересованного читателя, мы коротко ответили: «УТКА: Не знаю./ДУГ: Чисто как грязь».

Иногда ошибки безопасности в операционной системе версии X просто не относятся к версии X-1, например, потому что ошибки существуют в коде, который был добавлен или подвергался опасности только в более новых выпусках.

Но мы также видели, что Apple не выпускает обновления для предыдущих версий по двум другим причинам: либо [а] потому что обновление действительно необходимо, но оказалось слишком сложным, чтобы его подготовить и протестировать вовремя, либо [б] потому что предыдущая версия теперь считалась неподдерживаемой и не собиралась получать обновления, необходимо это или нет.

А поскольку бюллетени безопасности Apple почти всегда сообщают вам только об исправлениях, доступных прямо сейчас, отсутствующие обновления регулярно остаются необъяснимой (и необъяснимой) загадкой.

Взрыв бюллетеней

Что ж, сегодня утром мы получили от Apple 15 электронных писем с бюллетенями по безопасности, в большинстве из них перечислялось множество ошибок с номерами CVE и проблем безопасности, о которых сообщалось в бюллетенях, которые мы уже видели ранее на этой неделе.

Ни один из них прямо не прояснил первые три вопроса выше, хотя теперь мы предполагаем, что причина, по которой Apple ссылается на «iPadOS 16», а также на «iPadOS 16.1», была, возможно, ошибочной попыткой передать информацию о том, что iPadOS теперь получает запоздалую модернизация на версию семейства 16, а также получение обновление эквивалентны исправлениям безопасности для новой iOS 16.1.

Но самый первый бюллетень последнего залпа от Apple решил последний вопрос, указанный выше, анонсировав iOS/iPadOS 15.7.1, которая оказалась критическое исправление:

APPLE-SA-2022-10-27-1: iOS 15.7.1 и iPadOS 15.7.1 iOS 15.7.1 и iPadOS 15.7.1 устраняют следующие проблемы. Информация о содержимом безопасности также доступна по адресу https://support.apple.com/HT213490. [. . .] Ядро Доступно для: iPhone 6s и новее, iPad Pro (все модели), iPad Air 2 и новее, iPad 5-го поколения и новее, iPad mini 4 и новее и iPod touch (7-го поколения). для выполнения произвольного кода с привилегиями ядра. Apple известно об отчете о том, что эта проблема могла активно использоваться. Описание. Проблема с записью за границы устранена путем улучшенной проверки границ. CVE-2022-42827: анонимный исследователь

Итак, iOS/iPadOS 15 по-прежнему поддерживается, и если вы не сжали зубы и не обновились до iOS 16.1 (или до iPadOS 16-которая-тоже-16.1) ранее на этой неделе…

… то вы должны убедиться, что вы получите iOS/iPadOS 15.7.1 прямо сейчас, потому что дыра нулевого дня ядра CVE-2022-42827, исправленная в iOS 16.1, находится прямо там же в iOS/iPadOS 15.7 и находится в стадии активной эксплуатации.

Другими словами, это был один из тех случаев, когда причина отсутствия обновления несколько дней назад почти наверняка была просто в том, что патчи не были готовы вовремя.

Что делать?

TL;DR, если вы пользователь iPhone или iPad: если вы все еще используете iOS/iPadOS основной версии 15, перейдите к Настройки > Общие > Обновление системы безопасности сразу же.

Проверьте, даже если у вас включены автоматические обновления, и не забудьте не только одобрить загрузку, если у вас ее еще нет, но и принудительно пройти через этап установки вашего устройства, который требует одной или нескольких перезагрузок (и делает, конечно, отключите телефон или планшет на некоторое время).

TL; DR, если вы Apple: в бюллетенях по безопасности было бы полезно немного больше ясности, особенно если вы знаете, что критическое обновление — это крылья для пользователей более ранних версий, или что им не потребуется обновление, потому что их версия не затронута.

Кстати, если вы решили перейти на iOS/iPadOS 16.1 ранее на этой неделе, просто на всякий случай…

… теперь вы не можете вернуться к iOS/iPadOS 15.7.1, потому что Apple не разрешает переход на более раннюю версию.

(Понижение версии облегчает джейлбрейк, который Apple стремится предотвратить, и в любом случае сначала потребуется полная очистка данных, чтобы предотвратить использование понижения версии в качестве злонамеренного обхода безопасности «принеси свою собственную ошибку» для кражи личной информации.)

---