Apple megaupdate: Ventura out, iOS và iPad kernel zero-day - hành động ngay!

Bộ sưu tập các bản cập nhật bảo mật mới nhất của Apple đã đến, bao gồm cả bản vừa mới ra mắt Cuộc phiêu lưu macOS 13, được đi kèm với bản tin an ninh liệt kê một con số khổng lồ 112 lỗ hổng bảo mật được đánh số CVE.

Trong số đó, chúng tôi đếm được 27 lỗ thực thi mã tùy ý, trong đó 12 lỗ cho phép đưa mã giả vào ngay chính hạt nhân và một lỗ cho phép chạy mã không đáng tin cậy với các đặc quyền của hệ thống.

Trên hết, có hai lỗi nâng cao đặc quyền (EoP) được liệt kê cho Ventura mà chúng tôi cho rằng có thể được sử dụng cùng với một số, nhiều hoặc tất cả 14 lỗi thực thi mã không thuộc hệ thống còn lại để tạo thành một chuỗi tấn công. biến khai thác thực thi mã cấp người dùng thành khai thác cấp hệ thống.

iPhone và iPad gặp rủi ro trong cuộc sống thực

Tuy nhiên, đó không phải là phần quan trọng nhất của câu chuyện này.

Giải thưởng "mối nguy hiểm rõ ràng và hiện tại" sẽ được trao cho iOS và iPadOS, Mà được cập nhật sang phiên bản 16.1 và 16 tương ứng, nơi một trong những lỗ hổng bảo mật được liệt kê cho phép thực thi mã hạt nhân từ bất kỳ ứng dụng nào và đã được khai thác tích cực.

Tóm lại, iPhone và iPad cần được vá lỗi ngay lập tức vì hạt nhân zero-day.

Apple chưa cho biết nhóm tội phạm mạng hoặc công ty phần mềm gián điệp nào đang lạm dụng lỗi này, được gọi là CVE-2022-42827, nhưng với mức giá cao mà lệnh zero-days của iPhone hoạt động trong thế giới mạng, chúng tôi giả định rằng bất kỳ ai sở hữu phần khai thác này [a] đều biết cách làm cho nó hoạt động hiệu quả và [b] không có khả năng tự thu hút sự chú ý của họ. , để giữ những nạn nhân hiện có trong bóng tối càng nhiều càng tốt.

Apple đã đưa ra nhận xét thông thường của mình về hiệu quả mà công ty "Nhận thức được một báo cáo rằng vấn đề này có thể đã được khai thác tích cực", và đó là tất cả.

Do đó, chúng tôi không thể cung cấp cho bạn bất kỳ lời khuyên nào về cách kiểm tra các dấu hiệu tấn công trên thiết bị của bạn - chúng tôi không biết về bất kỳ cái gọi là IoC nào (các chỉ số của sự thỏa hiệp), chẳng hạn như các tệp kỳ lạ trong bản sao lưu của bạn, các thay đổi cấu hình không mong muốn hoặc các mục nhập tệp nhật ký bất thường mà bạn có thể tìm kiếm.

Do đó, khuyến nghị duy nhất của chúng tôi là thông thường chúng tôi thúc giục vá sớm / vá thường xuyên, bằng cách hướng đến Cài đặt > Tổng Quát > cập nhật phần mềm và chọn Tải về và cài đặt nếu bạn chưa nhận được các bản sửa lỗi.

Tại sao phải đợi thiết bị của bạn tự tìm và đề xuất các bản cập nhật khi bạn có thể chuyển đến đầu hàng đợi và tải chúng ngay lập tức?

Catalina giảm?

Như bạn có thể đã giả định, do việc phát hành Ventura đưa macOS lên phiên bản 13, macOS 10 Catalina ba phiên bản trước không xuất hiện trong danh sách lần này.

Apple thường chỉ cung cấp các bản cập nhật bảo mật cho các phiên bản trước và trước đó của macOS, và đó là cách các bản vá diễn ra ở đây, với các bản vá lỗi cần thực hiện macOS 11 BigSur sang phiên bản 11.7.1và macOS 12 Monterey sang phiên bản 12.6.1.

Tuy nhiên, những phiên bản đó cũng nhận được một cập nhật riêng biệt được liệt kê là Safari 16.1, sửa một số lỗi nghe có vẻ nguy hiểm trong Safari và thư viện phần mềm cơ bản WebKit của nó.

Hãy nhớ rằng WebKit không chỉ được sử dụng bởi Safari mà còn bởi bất kỳ ứng dụng nào khác dựa trên mã cơ bản của Apple để hiển thị bất kỳ loại nội dung dựa trên HTML nào, bao gồm hệ thống trợ giúp, Giới thiệu về màn hình và “trình duyệt nhỏ” tích hợp sẵn, thường thấy trong nhắn tin ứng dụng cung cấp tùy chọn để xem các tệp, trang hoặc tin nhắn HTML.

Apple XEM và tvOS cũng nhận được nhiều bản sửa lỗi và số phiên bản của chúng cập nhật lên Xem 9.1 và tvOS 16.1 tương ứng.

Phải làm gì?

Tin tốt là chỉ những người chấp nhận sớm và các nhà phát triển phần mềm mới có khả năng đang chạy Ventura, như một phần của hệ sinh thái Beta của Apple.

Những người dùng đó nên cập nhật càng sớm càng tốt, không cần đợi hệ thống nhắc nhở hoặc tự động cập nhật để bắt đầu, với số lượng lớn các lỗi đã được sửa.

Nếu bạn không sử dụng Ventura nhưng có ý định nâng cấp ngay lập tức, trải nghiệm đầu tiên của bạn về phiên bản mới sẽ tự động bao gồm các bản vá lỗi 112 CVE được đề cập ở trên, vì vậy phiên bản nâng cấp sẽ tự động bao gồm bảo mật cần thiết cập nhật.

Nếu bạn đang có kế hoạch gắn bó với phiên bản macOS trước hoặc trước đó một thời gian (hoặc nếu, giống như chúng tôi, bạn có một máy Mac cũ hơn không thể nâng cấp), đừng quên rằng bạn cần hai bản cập nhật: một bản dành riêng cho Big Sur hoặc Monterey và bản còn lại là bản cập nhật cho Safari giống nhau cho cả hai phiên bản hệ điều hành.

Tóm lại:

• Trên hệ điều hành iOS hoặc iPad, khẩn cấp sử dụng Cài đặt > Tổng Quát > cập nhật phần mềm
• Trên macOS, sử dụng Trình đơn Apple > Giới thiệu về Mac này > Cập nhật phần mềm…
• macOS 13 Ventura Beta người dùng nên cập nhật ngay lập tức lên bản phát hành đầy đủ.
• Người dùng Big Sur và Monterey những người nâng cấp lên Ventura nhận được các bản sửa lỗi bảo mật macOS 13 cùng một lúc.
• macOS 11 BigSur đi 11.7.1, và nhu cầu Safari 16.1 là tốt.
• macOS 12 Monterey đi 12.6.1, và nhu cầu Safari 16.1 là tốt.
• XEM đi 9.1.
• tvOS đi 16.1.

Lưu ý rằng macOS 10 Catalina không nhận được bản cập nhật nào, nhưng chúng tôi cho rằng đó là vì nó đã đến cuối con đường cho người dùng Catalina, không phải vì nó vẫn được hỗ trợ mà là miễn nhiễm với bất kỳ lỗi nào được tìm thấy trong các phiên bản sau.

Nếu chúng tôi đúng, những người dùng Catalina không thể nâng cấp máy Mac của họ sẽ mắc kẹt với việc chạy phần mềm ngày càng lỗi thời của Apple mãi mãi hoặc chuyển sang một hệ điều hành thay thế như bản phân phối Linux vẫn được hỗ trợ trên thiết bị của họ.

Các liên kết nhanh đến các bản tin bảo mật của Apple:

• APPLE-SA-2022-10-24-1: HT213489 cho iOS 16.1 và iPadOS 16
• APPLE-SA-2022-10-24-2: HT213488 cho macOS Ventura 13
• APPLE-SA-2022-10-24-3: HT213494 dành cho macOS Monterey 12.6.1
• APPLE-SA-2022-10-24-4: HT213493 dành cho macOS Big Sur 11.7.1
• APPLE-SA-2022-10-24-5: HT213491 cho watchOS 9.1
• APPLE-SA-2022-10-24-6: HT213492 cho tvOS 16.1
• APPLE-SA-2022-10-24-7: HT213495 cho Safari 16.1

---