Apple ออกแพทช์ใหม่อย่างเงียบ ๆ สำหรับข้อผิดพลาด RCE Zero-Day

Apple ได้เปิดตัวการอัปเดตเพิ่มเติมสำหรับ iOS อย่างเงียบๆ เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยซีโร่เดย์ซึ่งถูกแก้ไขเมื่อต้นเดือนนี้ในอุปกรณ์รุ่นใหม่กว่า ช่องโหว่ที่พบใน WebKit สามารถอนุญาตให้ผู้โจมตีสร้างเนื้อหาเว็บที่เป็นอันตรายซึ่งอนุญาตให้มีการเรียกใช้โค้ดจากระยะไกล (RCE) บนอุปกรณ์ของผู้ใช้

การปรับปรุง iOS 12.5.6 ที่วางจำหน่ายในวันพุธนี้ใช้กับรุ่นต่อไปนี้: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 และ iPod touch รุ่นที่ 6

ข้อบกพร่องที่เป็นปัญหา (CVE-2022-32893) ได้รับการอธิบายโดย Apple ว่าเป็นปัญหาการเขียนนอกขอบเขตใน WebKit ได้รับการแก้ไขแล้วในแพทช์ด้วยการปรับปรุงการตรวจสอบขอบเขตให้ดียิ่งขึ้น Apple ยอมรับว่าจุดบกพร่องนี้อยู่ระหว่างการหาประโยชน์ และขอให้ผู้ใช้อุปกรณ์ที่ได้รับผลกระทบอัปเดตทันที

Apple ได้แก้ไขช่องโหว่สำหรับอุปกรณ์บางตัวแล้ว — ควบคู่ไปกับข้อบกพร่องของเคอร์เนลที่ติดตามเป็น CVE-2022-32894 — ก่อนหน้านี้ในเดือนสิงหาคม ใน iOS 15.6.1 นั่นคือ การปรับปรุง ที่ครอบคลุม iPhone 6S และใหม่กว่า, iPad Pro (ทุกรุ่น), iPad Air 2 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch (รุ่นที่ 7)

แพตช์ล่าสุดดูเหมือนจะเป็น Apple ที่ครอบคลุมฐานทั้งหมดโดยเพิ่มการป้องกันสำหรับ iPhone ที่ใช้ iOS เวอร์ชันเก่ากว่า Paul Ducklin ผู้เผยแพร่ศาสนาด้านความปลอดภัยตั้งข้อสังเกต

“เราเดาว่า Apple จะต้องเจอผู้ใช้โทรศัพท์รุ่นเก่าที่มีความเสี่ยงสูง (หรือมีความเสี่ยงสูง หรือทั้งสองอย่าง) ซึ่งถูกบุกรุกในลักษณะนี้ และตัดสินใจที่จะผลักดันการป้องกันสำหรับทุกคนเพื่อเป็นการป้องกันไว้ก่อนเป็นพิเศษ " เขาเขียน ในโพสต์ ในบล็อก Sophos Naked Security

ความครอบคลุมแบบคู่โดย Apple เพื่อแก้ไขข้อผิดพลาดใน iOS ทั้งสองเวอร์ชันนั้นเกิดจากการเปลี่ยนแปลงเวอร์ชันของแพลตฟอร์มที่ทำงานบน iPhone, Ducklin อธิบาย

ก่อนที่ Apple จะเปิดตัว iOS 13.1 และ iPadOS 13.1 iPhones และ iPads ใช้ระบบปฏิบัติการเดียวกัน ซึ่งเรียกว่า iOS สำหรับอุปกรณ์ทั้งสองเครื่อง เขากล่าว ตอนนี้ iOS 12.x ครอบคลุม iPhone 6 และอุปกรณ์รุ่นก่อนหน้า ในขณะที่ iOS 13.1 และเวอร์ชันที่ใหม่กว่านั้นทำงานบน iPhone 6s และอุปกรณ์ที่เปิดตัวหลังจากนั้น

ข้อบกพร่องแบบ Zero-day อื่นๆ ที่ Apple ได้แก้ไขเมื่อต้นเดือนนี้คือ CVE-2022-32894 คือช่องโหว่ของเคอร์เนลที่อาจทำให้มีการครอบครองอุปกรณ์ทั้งหมด แต่ในขณะที่ iOS 13 ได้รับผลกระทบจากข้อบกพร่องนั้น และด้วยเหตุนี้จึงมีแพทช์สำหรับการอัปเดตก่อนหน้านี้ แต่มันไม่ส่งผลกระทบต่อ iOS 12 แต่ Ducklin ตั้งข้อสังเกตว่า "ซึ่งเกือบจะหลีกเลี่ยงความเสี่ยงของการประนีประนอมของระบบปฏิบัติการโดยสิ้นเชิง" ในเวอร์ชันเก่า อุปกรณ์

WebKit: พื้นผิวการโจมตีทางไซเบอร์ที่กว้าง

WebKit คือกลไกของเบราว์เซอร์ที่ขับเคลื่อน Safari และเบราว์เซอร์ของบริษัทอื่นทั้งหมดที่ทำงานบน iOS ด้วยการใช้ประโยชน์จาก CVE-2022-32893 ผู้คุกคามสามารถสร้างเนื้อหาที่เป็นอันตรายลงในเว็บไซต์ได้ จากนั้น หากมีผู้เยี่ยมชมไซต์จาก iPhone ที่ได้รับผลกระทบ นักแสดงสามารถเรียกใช้มัลแวร์บนอุปกรณ์ของตนจากระยะไกลได้

โดยทั่วไปแล้ว WebKit ถือเป็นหนามแหลมถาวรในฝั่งของ Apple เมื่อพูดถึงการเปิดเผยช่องโหว่ให้กับผู้ใช้ เพราะมันแพร่กระจายไปมากกว่า iPhone และอุปกรณ์ Apple อื่น ๆ ไปยังเบราว์เซอร์อื่น ๆ ที่ใช้งานมัน รวมถึง Firefox, Edge และ Chrome ซึ่งทำให้ผู้ใช้หลายล้านคนตกอยู่ในความเสี่ยงจาก ข้อผิดพลาดที่กำหนด

Ducklin ตั้งข้อสังเกตว่า "โปรดจำไว้ว่ามีข้อบกพร่องของ WebKit อยู่ที่เลเยอร์ซอฟต์แวร์ด้านล่าง Safari เพื่อให้เบราว์เซอร์ Safari ของ Apple ไม่ใช่แอปเดียวที่มีความเสี่ยงจากช่องโหว่นี้"

นอกจากนี้ แอพใดๆ ที่แสดงเนื้อหาเว็บบน iOS เพื่อวัตถุประสงค์อื่นนอกเหนือจากการเรียกดูทั่วไป เช่น ในหน้าช่วยเหลือ “ เกี่ยวกับ” หรือแม้แต่ใน “มินิเบราว์เซอร์” ในตัว — ใช้ WebKit ใต้ประทุน เขากล่าวเสริม

“กล่าวอีกนัยหนึ่ง แค่ 'หลีกเลี่ยง Safari' และยึดติดกับเบราว์เซอร์ของบุคคลที่สามไม่ใช่วิธีแก้ปัญหาที่เหมาะสม [สำหรับข้อบกพร่องของ WebKit]” Ducklin เขียน

แอปเปิ้ลภายใต้การโจมตี

แม้ว่าผู้ใช้และมืออาชีพจะมองว่าแพลตฟอร์ม Mac และ iOS ของ Apple มีความปลอดภัยมากกว่า Microsoft Windows และโดยทั่วไปแล้วจะเป็นจริงด้วยเหตุผลหลายประการ ผู้เชี่ยวชาญกล่าว

อันที่จริง ภูมิทัศน์ภัยคุกคามที่เกิดขึ้นใหม่แสดงความสนใจมากขึ้นในการกำหนดเป้าหมายเทคโนโลยีเว็บที่แพร่หลายมากขึ้น ไม่ใช่ตัวระบบปฏิบัติการเอง ได้ขยายเป้าหมาย บนหลังของ Apple ตาม รายงานภัยคุกคาม เปิดตัวในเดือนมกราคม และกลยุทธ์การป้องกันของบริษัทสะท้อนถึงสิ่งนี้

Apple ได้แก้ไขข้อบกพร่องซีโร่เดย์อย่างน้อยสี่จุดในปีนี้ โดยมีสองแพตช์สำหรับช่องโหว่ iOS และ macOS ก่อนหน้านี้ มกราคม และหนึ่งใน กุมภาพันธ์ - ส่วนหลังได้แก้ไขปัญหาการใช้ประโยชน์อย่างแข็งขันใน WebKit

นอกจากนี้ ปีที่แล้ว 12 จาก 57 ภัยคุกคามซีโร่เดย์ที่นักวิจัยจาก Project Zero ของ Google การติดตาม เกี่ยวข้องกับ Apple (เช่น มากกว่า 20%) โดยมีปัญหากับ macOS, iOS, iPadOS และ WebKit