СРОЧНЫЙ! Apple выпустила обновление нулевого дня для старых iPhone и iPad

Ну, этого мы не ожидали!

Наш любимый iPhone 6+, которому уже почти восемь лет, но в первозданном, как новый, состоянии до недавнего UDI (инцидент с непреднамеренным спешиванием, также известный как велосипедный штырь, который разбил экран, но оставил устройство в рабочем состоянии), не получал никаких обновлений безопасности от Apple уже почти год.

Последнее обновление, которое мы получили, было еще 2021-09-23, когда мы обновились до iOS 12.5.5.

Каждое последующее обновление для iOS и iPadOS 15 по понятным причинам подкрепляло наше предположение о том, что Apple навсегда прекратила поддержку iOS 12, и поэтому мы отправили старый iPhone в фоновую работу исключительно в качестве аварийного устройства для карт или телефонных звонков в дороге.

(Мы посчитали, что еще один сбой вряд ли приведет к дальнейшему повреждению экрана, поэтому это казалось полезным компромиссом.)

Но мы только что заметили, что Apple все-таки решила снова обновить iOS 12.

Это новое обновление относится к следующим моделям: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 и iPod touch 6-го поколения. (До выхода iOS 13.1 и iPadOS 13.1 на iPhone и iPad использовалась одна и та же операционная система, называемая iOS для обоих устройств.)

Мы не получили электронное письмо с рекомендациями по безопасности от Apple, но бдительный читатель Naked Security, который знает, что у нас все еще есть этот старый iPhone 6+, сообщил нам об этом. Бюллетень Apple по безопасности HT213428. (Спасибо!)

Проще говоря, Apple выпустила патч для CVE-2022-32893, который является одним из две загадочные ошибки нулевого дня которые получили экстренные исправления на большинстве других платформ Apple ранее в августе 2022 года:

Внедрение вредоносного ПО

Как вы увидите в статье чуть выше, была ошибка удаленного выполнения кода WebKit, CVE-2022-32893, с помощью которой джейлбрейкер, торговец шпионским ПО или какой-нибудь коварный киберпреступник мог заманить вас на заминированный веб-сайт и внедрить вредоносное ПО на ваше устройство, даже если все, что вы сделали, это просто взглянули на невинно выглядящую страницу или документ.

Затем в ядре была вторая ошибка, CVE-2022-32894, из-за которой указанное вредоносное ПО могло распространить свои щупальца за пределы только что скомпрометированного приложения (например, браузера или средства просмотра документов) и получить контроль над внутренностями операционной системы. самой системы, что позволяет вредоносным программам шпионить, изменять или даже устанавливать другие приложения, обходя столь хваленые и печально известные строгие меры безопасности Apple.

Итак, вот хорошие новости: iOS 12 не уязвима для CVE-2022-32894 нулевого дня на уровне ядра., что почти наверняка позволяет избежать риска полной компрометации самой операционной системы.

Но вот плохие новости: iOS 12 уязвима для ошибки WebKit CVE-2022-32893., так что отдельные приложения на вашем телефоне определенно подвержены риску компрометации.

Мы предполагаем, что Apple, должно быть, столкнулась, по крайней мере, с некоторыми высокопоставленными (или с высоким риском, или с обоими) пользователями старых телефонов, которые были скомпрометированы таким образом, и решила выдвинуть защиту для всех в качестве особой меры предосторожности.

Опасность WebKit

Помните, что ошибки WebKit существуют, грубо говоря, на программном уровне ниже Safari, так что собственный браузер Apple Safari — не единственное приложение, подверженное риску этой уязвимости.

Все браузеры на iOS, даже Firefox, Edge, Chrome и т. д., используют WebKit (это требование Apple, если вы хотите, чтобы ваше приложение попало в App Store).

И любое приложение, которое отображает веб-контент для целей, отличных от общего просмотра, например, на своих страницах справки, его О нас screen или даже во встроенном «мини-браузере» также подвержены риску, потому что он будет использовать WebKit под прикрытием.

Другими словами, простое «избегание Safari» и использование стороннего браузера в данном случае не является подходящим решением.

Что делать?

Теперь мы знаем, что отсутствие обновления для iOS 12, когда вышли последние экстренные исправления для более поздних iPhone, не было связано с тем, что iOS уже была в безопасности.

Это было просто из-за того, что обновление еще не было доступно.

Итак, учитывая, что теперь мы знаем, что iOS 12 is в опасности, и что эксплойты против CVE-2022-32893 используются в реальной жизни, и что есть доступный патч…

…тогда нужно срочно Устанавливайте патчи рано/часто!

Перейдите на Настройки > Общие > Обновление ПО, и убедитесь, что у вас есть Система IOS 12.5.6.

Если вы еще не получили обновление автоматически, коснитесь Загрузить и установить чтобы начать процесс прямо сейчас:

---