Apple popravi dvojni zero-day v brskalniku in jedru – posodobite zdaj!

Apple je pravkar izdal nujno posodobitev za dve napaki zero-day, ki sta očitno aktivno izkoriščajo.

Obstaja sinhronizirana luknja za oddaljeno izvajanje kode (RCE). CVE-20220-32893 v Applovi programski opremi za upodabljanje HTML (WebKit), s pomočjo katere lahko spletna stran, ki je ujet v minah, prevara iPhone, iPad in Mac računalnike, da zaženejo nepooblaščeno in nezaupljivo programsko kodo.

Preprosto povedano, kibernetski kriminalec bi lahko v vašo napravo namestil zlonamerno programsko opremo, tudi če ste si ogledali samo nedolžno spletno stran.

Ne pozabite, da je WebKit del Applovega motorja brskalnika, ki se nahaja pod absolutno vso programsko opremo za spletno upodabljanje v Applovih mobilnih napravah.

Maci lahko poganjajo različice brskalnikov Chrome, Chromium, Edge, Firefox in drugih brskalnikov, ki niso Safari, z alternativnimi mehanizmi HTML in JavaScript (Chromium na primer uporablja Blink in V8; Firefox temelji na Gecko in Rhino).

Toda v sistemih iOS in iPadOS pravila Applove trgovine App Store vztrajajo, da mora vsaka programska oprema, ki ponuja kakršno koli funkcijo brskanja po spletu mora temeljiti na WebKitu, vključno z brskalniki, kot so Chrome, Firefox in Edge, ki se ne zanašajo na Applovo kodo brskanja na nobeni drugi platformi, kjer bi jih morda uporabljali.

Poleg tega so vse aplikacije za Mac in iDevice s pojavnimi okni, kot je npr pomaga or O meni zasloni uporabljajo HTML kot svoj »prikazni jezik« – programsko udobje, ki je razumljivo priljubljeno pri razvijalcih.

Aplikacije, ki to počnejo, skoraj zagotovo uporabljajo Applove Spletni pogled sistemske funkcije in WebView temelji neposredno na vrhu WebKita, zato je nanj prizadeta morebitna ranljivost v WebKitu.

O CVE-2022-32893 ranljivost torej potencialno vpliva na veliko več aplikacij in sistemskih komponent kot le na Applov lastni brskalnik Safari, zato preprosto izogibanje brskalniku Safari ne more veljati za rešitev, niti na računalnikih Mac, kjer so dovoljeni brskalniki, ki niso WebKit.

Potem je tu še drugi ničelni dan

Obstaja tudi sinhronizirana luknja za izvajanje kode jedra CVE-2022-32894, s katerim napadalec, ki se je že osnovno uveljavil na vaši napravi Apple z izkoriščanjem zgoraj omenjenega hrošča WebKit ...

... bi lahko skočil z nadzora samo ene same aplikacije v vaši napravi na prevzem samega jedra operacijskega sistema in tako pridobil nekakšna "upravna velemoč", ki so običajno rezervirana za sam Apple.

To skoraj zagotovo pomeni, da bi lahko napadalec:

• Vohunite za vsemi aplikacijami, ki se trenutno izvajajo
• Prenesite in zaženite dodatne aplikacije, ne da bi morali obiskati App Store
• Dostop do skoraj vseh podatkov v napravi
• Spremenite varnostne nastavitve sistema
• Pridobite svojo lokacijo
• Posnemite posnetke zaslona
• Uporabite kamere v napravi
• Aktivirajte mikrofon
• Kopirajte besedilna sporočila
• Sledite svojemu brskanju ...

…in veliko več.

Apple ni povedal, kako so bile odkrite te napake (razen zaslug "anonimni raziskovalec"), ni povedal, kje na svetu so bili izkoriščeni, niti ni povedal, kdo jih uporablja ali za kakšen namen.

Vendar pa ohlapno povedano delujoč WebKit RCE, ki mu sledi delujoče izkoriščanje jedra, kot je prikazano tukaj, običajno zagotavlja vso funkcionalnost, potrebno za namestite jailbreak naprave (zato namerno zaobide skoraj vse varnostne omejitve, ki jih je uvedel Apple), ali do namestite vohunsko programsko opremo v ozadju in vas obdržati pod celovitim nadzorom.

Kaj storiti?

Patch takoj!

V času pisanja je Apple objavil nasvete za iPad OS 15 in iOS 15, ki oba dobita posodobljeni številki različice 15.6.1In za macOS Monterey 12, ki dobi posodobljeno številko različice 12.5.2.

• Na vašem iPhone ali iPad: Nastavitve > splošno > Posodobitev programske opreme
• V računalniku Mac: Apple meni > O tem Macu > Posodobitev programske opreme…

Obstaja tudi posodobitev, ki traja WATCH do različice 8.7.1, vendar ta posodobitev ne navaja številk CVE in nima lastnega varnostnega nasveta.

Ni podatkov o tem, ali so starejše podprte različice macOS (Big Sur in Catalina) prizadete, vendar še nimajo na voljo posodobitev, ali pa je tvOS ranljiv, vendar še ni popravljen.

Za več informacij si oglejte ta prostor in spremljajte Appleovo uradno stran portala Varnostni bilten, HT201222.