Apple patchar dubbla nolldagar i webbläsare och kärna – uppdatera nu!

Apple har precis skickat ut en nöduppdatering för två nolldagarsbuggar som tydligen är aktivt utnyttjas.

Det finns ett fjärrkodexekveringshål (RCE) dubbat CVE-20220-32893 i Apples HTML-renderingsprogram (WebKit), med hjälp av vilken en booby-fångad webbsida kan lura iPhones, iPads och Macs att köra otillåten och opålitlig programvarukod.

Enkelt uttryckt kan en cyberbrottsling implantera skadlig programvara på din enhet även om allt du gjorde var att titta på en annars oskyldig webbsida.

Kom ihåg att WebKit är den del av Apples webbläsarmotor som sitter under absolut all webbrenderingsprogramvara på Apples mobila enheter.

Mac-datorer kan köra versioner av Chrome, Chromium, Edge, Firefox och andra "icke-Safari" webbläsare med alternativa HTML- och JavaScript-motorer (Chromium använder till exempel Blink och V8; Firefox bygger på Gecko och Rhino).

Men på iOS och iPadOS insisterar Apples App Store-regler på att all programvara som erbjuder någon form av webbsurfningsfunktionalitet måste baseras på WebKit, inklusive webbläsare som Chrome, Firefox och Edge som inte förlitar sig på Apples webbläsarkod på andra plattformar där du kan använda dem.

Dessutom kan alla Mac- och iDevice-appar med popup-fönster som t.ex Hjälp or Om oss skärmar använder HTML som sitt "visningsspråk" - en programmatisk bekvämlighet som förstås är populär bland utvecklare.

Appar som gör detta använder nästan säkert Apples Webbvy systemfunktioner och WebView är baserad direkt ovanpå WebKit, så det påverkas därför av eventuella sårbarheter i WebKit.

Smakämnen CVE-2022-32893 sårbarhet påverkar därför potentiellt många fler appar och systemkomponenter än bara Apples egen Safari-webbläsare, så att helt enkelt undvika Safari kan inte betraktas som en lösning, inte ens på Mac-datorer där webbläsare som inte är WebKit är tillåtna.

Sedan är det en andra nolldag

Det finns också ett exekveringshål för kärnan dubbat CVE-2022-32894, där en angripare som redan har fått ett grundläggande fotfäste på din Apple-enhet genom att utnyttja ovannämnda WebKit-fel...

... skulle kunna hoppa från att bara kontrollera en enda app på din enhet till att ta över själva operativsystemets kärna, och på så sätt förvärva den sortens "administrativa superkrafter" som normalt är reserverade för Apple själv.

Detta betyder nästan säkert att angriparen kan:

• Spionera på alla appar som körs för närvarande
• Ladda ner och starta ytterligare appar utan att gå via App Store
• Få åtkomst till nästan all data på enheten
• Ändra systemsäkerhetsinställningar
• Hämta din plats
• Ta skärmdumpar
• Använd kamerorna i enheten
• Aktivera mikrofonen
• Kopiera textmeddelanden
• Spåra din surfning...

…och mycket mer.

Apple har inte sagt hur dessa buggar hittades (annat än för att kreditera "en anonym forskare"), har inte sagt var i världen de har utnyttjats, och har inte sagt vem som använder dem eller i vilket syfte.

Men löst sett ger en fungerande WebKit RCE följt av en fungerande kärnexploatering, som ses här, vanligtvis all funktionalitet som behövs för att montera en enhetsjailbreak (därför medvetet kringgå nästan alla Apple-påtvingade säkerhetsbegränsningar), eller till installera bakgrundsspionprogram och hålla dig under omfattande övervakning.

Vad göra?

Patch på en gång!

I skrivande stund har Apple publicerat råd för iPad OS 15 och iOS 15, som båda får uppdaterade versionsnummer av 15.6.1Och för macOS Monterey 12, som får ett uppdaterat versionsnummer av 12.5.2.

• På din iPhone eller iPad: Inställningar > Allmänt > Programuppdatering
• På din Mac: Apple-menyn > Om den här Mac > Programuppdatering…

Det finns också en uppdatering som tar TITTA till version 8.7.1, men den uppdateringen listar inga CVE-nummer och har ingen egen säkerhetsrådgivning.

Det finns inga ord om huruvida de äldre versionerna av macOS (Big Sur och Catalina) som stöds påverkas men ännu inte har tillgängliga uppdateringar, eller om tvOS är sårbart men ännu inte korrigerat.

För ytterligare information, titta på det här utrymmet och håll ögonen på Apples officiella säkerhetsbulletin-portalsida, HT201222.