Apple patchar "0-dagars" webbläsarbugg fixad för 2 veckor sedan i Chrome, Edge

Apple har tagit bort sina senaste patchar och åtgärdat mer än 50 CVE-numrerade säkerhetsbrister i sitt utbud av produkter som stöds.

De relevanta säkerhetsbulletinerna, uppdateringsnumren och var du kan hitta dem online är följande:

• APPLE-SA-2022-07-20-1: iOS 15.6 och iPadOS 15.6, detaljer på HT213346
• APPLE-SA-2022-07-20-2: macOS Monterey 12.5, detaljer på HT213345
• APPLE-SA-2022-07-20-3: macOS Big Sur 11.6.8, detaljer på HT213344
• APPLE-SA-2022-07-20-4: Säkerhetsuppdatering 2022-005 Catalina, detaljer på HT213343
• APPLE-SA-2022-07-20-5: tvOS 15.6, detaljer på HT213342
• APPLE-SA-2022-07-20-6: titta på OS 8.7, detaljer på HT213340
• APPLE-SA-2022-07-20-7: Safari 15.6 detaljer på HT213341

Som vanligt med Apple är Safari-webbläsarens patchar paketerade i uppdateringarna för det senaste macOS (Monterey), såväl som i uppdateringarna för iOS och iPad OS.

Men uppdateringarna för de äldre versionerna av macOS inkluderar inte Safari, så den fristående Safari-uppdateringen (se HT213341 ovan) gäller därför användare av tidigare macOS-versioner (både Big Sur och Catalina stöds fortfarande officiellt), som kommer att behöva ladda ner och installera två uppdateringar, inte bara en.

En hedersnolldag

Förresten, om du har en Mac med en tidigare version av macOS, glöm inte den andra nedladdningen för Safari, eftersom det är oerhört viktigt, åtminstone så långt vi kan se.

Det beror på att en av de webbläsarrelaterade korrigeringarna i denna omgång av uppdateringar handlar om en sårbarhet i WebRTC (webbkommunikation i realtid) känd som CVE-2022-2294.

...och om det numret låter bekant, borde det göra det, för det är samma bugg som var fastställd som en nolldag av Google i Chrome (och av Microsoft i Edge) för ungefär två veckor sedan:

Intressant nog har Apple inte deklarerat någon av denna månads sårbarheter som "rapporterade att vara i det vilda" eller som "nolldagars buggar", trots den ovan nämnda patchen som kallades ett nolldagarshål av Google.

Oavsett om det beror på att felet inte är lika lätt att utnyttja i Safari, eller helt enkelt för att ingen har spårat något Safari-specifikt missbeteende till denna speciella brist, kan vi inte säga dig, men vi behandlar det som en "hedersbetygelse" zero-day” sårbarhet, och lappar nitiskt som ett resultat.

Pwn2Own hål stängt

Apple har också uppenbarligen åtgärdat buggen som hittades av den tyske cybersäkerhetsforskaren Manfred Paul vid den senaste Pwn2Own-tävlingen i Kanada, redan i maj 2022.

Senaste podden 🎧 Lyssna nu! Firefox & Pwn2Own, Apple och en 0-dag... och matematiken som besegrade Pythagoras.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Naken Security (@NakedSecurity) Maj 20, 2022

Manfred Paul utnyttjade Firefox med en bugg i två steg som gav honom $100,000 50,000 ($50,000 XNUMX för varje del), och kom in i Safari också, för ytterligare $XNUMX XNUMX i pris.

Faktum är att Mozilla publicerade sin fix för Pauls buggar inom två dagar för att ta emot sin rapport på Pwn2Own:

Apple däremot tog två månader att leverera sin post-Pwn2Own patch:

WebKit

Inverkan: Bearbetning av uppsåtligt webbinnehåll kan leda till exekvering av godtycklig kod

Beskrivning: Ett skrivproblem utanför gränserna åtgärdades med förbättrad indatavalidering.

CVE-2022-32792: Manfred Paul (@_manfp) arbetar med Trend Micro Zero Day Initiative [Pwn2Own]

Kom dock ihåg att ansvarsfullt avslöjande är en del av Pwn2Own-tävlingen, vilket innebär att alla som gör anspråk på ett pris inte bara måste lämna över fullständiga detaljer om sitt utnyttjande till den berörda leverantören, utan också hålla tyst om sårbarheten tills patchen är ute .

Med andra ord, lika lovvärt och spännande som Mozillas tvådagars leveranstid för patch kan ha varit, Apples mycket långsammare svar är ändå acceptabelt.

Livevideoströmmarna du kan ha sett från Pwn2Own tjänade till att indikera om varje konkurrents attack lyckades, snarare än att avslöja någon information om hur attacken faktiskt fungerade. Videoskärmarna som användes av de tävlande hade ryggen mot kameran, så att du kunde se ansiktena på de tävlande och domare, men inte vad de skrev eller tittade på.

Flerstegsattacker

Som vanligt innehåller de många buggar som korrigerats av Apple i dessa uppdateringar sårbarheter som i teorin kan kedjas samman av bestämda angripare.

En bugg listad med förbehållet att "en app med root-behörighet kanske kan köra godtycklig kod med kärnbehörighet" låter inte särskilt oroande i början.

När allt kommer omkring, om en angripare redan har root-befogenheter, har de i stort sett kontroll över din dator ändå.

Men när du märker en bugg någon annanstans i systemet som är listad med varningen som "en app kanske kan få root-privilegier", kan du se hur den senare sårbarheten kan vara en bekväm och otillåten språngbräda till den förra.

Och när du också märker en bildåtergivningsbugg som beskrivs som "att bearbeta en skadligt skapad fil kan leda till exekvering av godtycklig kod", du kan snabbt se att:

• En webbsida som är fångad i smuts kan innehålla en bild som lanserar otillförlitlig kod.
• Det kan den opålitliga koden implantera en lågprivilegierad app.
• Den oönskade appen kunde skaffa sig rotkrafter för sig själv.
• Den nu-root-appen kunde injicera sin egen falska kod i kärnan.

Med andra ord, åtminstone teoretiskt, bara att titta på en till synes oskyldig webbplats...

…kan få dig att ramla in i en kaskad av problem, precis som det berömda talesättet som säger, ”I brist på en spik gick skon bort; i brist på sko var hästen förlorad; i brist på häst gick budskapet förlorat; i brist på ett meddelande var striden förlorad... allt för bristen på en hästskospik.”

Vad göra?

Därför rekommenderar vi som alltid att du lappar tidigt; lappa ofta; lappa allt.

Apple, till sin kredit, gör att korrigering av allt är standard: du får inte välja vilka korrigeringar som ska distribueras och vilka du ska lämna "för senare".

Det enda undantaget från denna regel, som vi noterade ovan, är att för macOS Big Sur och macOS Catalina kommer du att få huvuddelen av operativsystemuppdateringarna i en gigantisk nedladdning, följt av en separat nedladdnings- och uppdateringsprocess för att installera senaste versionen av Safari.

Som vanligt:

• På din iPhone eller iPad: Inställningar > Allmänt > Programuppdatering
• På din Mac: Apple-menyn > Om den här Mac > Programuppdatering…

---