Apple tiho izda še en popravek za napako Zero-Day RCE

Apple je tiho uvedel več posodobitev za iOS, da bi popravil aktivno izkoriščeno varnostno ranljivost zero-day, ki jo je v novejših napravah popravil v začetku tega meseca. Ranljivost, ki jo najdemo v WebKitu, lahko napadalcem omogoči ustvarjanje zlonamerne spletne vsebine, ki omogoča oddaljeno izvajanje kode (RCE) na uporabnikovi napravi.

Posodobitev izdan v sredo, iOS 12.5.6, velja za naslednje modele: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 in iPod touch 6. generacije.

Zadevna napaka (CVE-2022-32893) Apple opisuje kot težavo s pisanjem izven meja v WebKit. To je bilo obravnavano v popravku z izboljšanim preverjanjem meja. Apple je priznal, da se hrošč aktivno izkorišča, in uporabnike prizadetih naprav poziva, naj nemudoma posodobijo.

Apple je že popravil ranljivost za nekatere naprave – poleg napake v jedru, ki je bila sledena kot CVE-2022-32894 – prej avgusta v iOS 15.6.1. To je Posodobitev ki je zajemal iPhone 6S in novejše, iPad Pro (vsi modeli), iPad Air 2 in novejše, iPad 5. generacije in novejše, iPad mini 4 in novejše ter iPod touch (7. generacija).

Zdi se, da zadnji krog popravkov Apple pokriva vse svoje osnove z dodajanjem zaščite za telefone iPhone s starejšimi različicami iOS-a, je opozoril varnostni evangelist Paul Ducklin.

»Predvidevamo, da je Apple moral naleteti na vsaj nekaj uglednih (ali visoko tveganih ali obojega) uporabnikov starejših telefonov, ki so bili ogroženi na ta način, in se je odločil, da bo kot poseben previdnostni ukrep izrinil zaščito za vse, " on je pisal v postu na blogu Sophos Naked Security.

Dvojna pokritost s strani Appla za odpravo napake v obeh različicah sistema iOS je posledica spremembe v tem, katere različice platforme delujejo na katerih iPhonih, je pojasnil Ducklin.

Preden je Apple izdal iOS 13.1 in iPadOS 13.1, so iPhoni in iPadi uporabljali isti operacijski sistem, imenovan iOS za obe napravi, je dejal. Zdaj iOS 12.x pokriva iPhone 6 in starejše naprave, medtem ko iOS 13.1 in novejše različice delujejo na iPhone 6s in napravah, izdanih pozneje.

Druga napaka ničelnega dne, ki jo je Apple popravil v začetku tega meseca, CVE-2022-32894, je bila ranljivost jedra, ki lahko omogoči prevzem celotne naprave. Toda medtem ko je iOS 13 prizadela ta napaka - in je zato dobil popravek zanjo v prejšnji posodobitvi - ne vpliva na iOS 12, je opazil Ducklin, "ki se skoraj zagotovo izogne ​​tveganju popolne ogroženosti samega operacijskega sistema" na starejših naprave.

WebKit: široka površina za kibernetske napade

WebKit je motor brskalnika, ki poganja Safari in vse druge brskalnike drugih proizvajalcev, ki delujejo v sistemu iOS. Z izkoriščanjem CVE-2022-32893 lahko akter grožnje v spletno mesto vgradi zlonamerno vsebino. Če nato nekdo obišče spletno mesto s prizadetega iPhona, lahko igralec na daljavo zažene zlonamerno programsko opremo na svoji napravi.

WebKit je bil na splošno vztrajen trn v peti Applu, ko gre za izpostavljanje uporabnikov ranljivostim, saj se širi izven iPhonov in drugih naprav Apple v druge brskalnike, ki ga uporabljajo – vključno s Firefoxom, Edgeom in Chromom –, kar potencialno ogroža milijone uporabnikov dano napako.

»Ne pozabite, da hrošči WebKit obstajajo, ohlapno rečeno, na ravni programske opreme pod brskalnikom Safari, tako da Applov brskalnik Safari ni edina aplikacija, ki je ogrožena zaradi te ranljivosti,« je opazil Ducklin.

Poleg tega vsaka aplikacija, ki prikazuje spletno vsebino v sistemu iOS za namene, ki niso splošno brskanje – na primer na straneh s pomočjo, »Vizitka« zaslonu ali celo v vgrajenem "minibrskalniku" - pod pokrovom uporablja WebKit, je dodal.

»Z drugimi besedami, samo 'izogibanje brskalniku Safari' in vztrajanje pri brskalniku drugega proizvajalca ni primerna rešitev [za hrošče WebKit],« je zapisal Ducklin.

Apple pod napadom

Medtem ko so uporabniki in strokovnjaki tradicionalno menili, da sta Applovi platformi Mac in iOS bolj varni kot Microsoft Windows – in to je na splošno res zaradi številnih razlogov –, pravijo strokovnjaki, se plima začenja obračati.

Dejansko nastajajoča pokrajina groženj kaže več zanimanja za ciljanje na bolj vseprisotne spletne tehnologije in ne na OS sam je razširil cilj na Applovem hrbtu, glede na poročilo o grožnji izdan januarja, kar odraža obrambna strategija popravkov podjetja.

Apple je letos popravil vsaj štiri napake ničelnega dne, z dvema popravkoma za prejšnje ranljivosti iOS in macOS. januar in en v februar — slednji je odpravil še eno aktivno izkoriščeno težavo v WebKitu.

Poleg tega je lani 12 od 57 groženj ničelnega dne raziskovalcev Googlovega projekta Zero gosenicami so bile povezane z Appleom (tj. več kot 20 %), pri čemer so težave vplivale na macOS, iOS, iPadOS in WebKit.