Bản vá lỗi của Apple nhân đôi zero-day trong trình duyệt và nhân - cập nhật ngay!

Apple vừa tung ra một bản cập nhật khẩn cấp cho hai lỗi zero-day rõ ràng là tích cực bị khai thác.

Có một lỗ thực thi mã từ xa (RCE) được lồng tiếng CVE-20220-32893 trong phần mềm kết xuất HTML của Apple (WebKit), bằng cách mà một trang web bị mắc kẹt có thể lừa iPhone, iPad và Mac chạy mã phần mềm trái phép và không đáng tin cậy.

Nói một cách đơn giản, tội phạm mạng có thể cấy phần mềm độc hại vào thiết bị của bạn ngay cả khi tất cả những gì bạn làm là xem một trang web vô tội khác.

Hãy nhớ rằng WebKit là một phần của công cụ trình duyệt của Apple, nằm bên dưới tất cả các phần mềm kết xuất web trên các thiết bị di động của Apple.

Máy Mac có thể chạy các phiên bản của Chrome, Chromium, Edge, Firefox và các trình duyệt “không phải Safari” khác với các công cụ HTML và JavaScript thay thế (ví dụ: sử dụng Chromium Nháy mắt và V8; Firefox dựa trên Con cắc kè và Rhino).

Nhưng trên iOS và iPadOS, các quy tắc của App Store của Apple nhấn mạnh rằng bất kỳ phần mềm nào cung cấp bất kỳ loại chức năng duyệt web nào phải dựa trên WebKit, bao gồm các trình duyệt như Chrome, Firefox và Edge không dựa vào mã duyệt của Apple trên bất kỳ biểu mẫu nào khác mà bạn có thể sử dụng chúng.

Ngoài ra, bất kỳ ứng dụng Mac và iDevice nào có cửa sổ bật lên, chẳng hạn như Trợ giúp or Giới thiệu màn hình sử dụng HTML làm “ngôn ngữ hiển thị” của chúng - một sự tiện lợi có lập trình rất phổ biến với các nhà phát triển.

Các ứng dụng làm được điều này gần như chắc chắn sử dụng Xem trên web các chức năng hệ thống và WebView dựa trên trực tiếp trên WebKit, do đó, nó bị ảnh hưởng bởi bất kỳ lỗ hổng nào trong WebKit.

Sản phẩm CVE-2022-32893 Do đó, lỗ hổng bảo mật có khả năng ảnh hưởng đến nhiều ứng dụng và thành phần hệ thống hơn chỉ là trình duyệt Safari của riêng Apple, vì vậy chỉ cần loại bỏ Safari không thể được coi là một giải pháp thay thế, ngay cả trên máy Mac được phép sử dụng trình duyệt không phải WebKit.

Sau đó, có một ngày không thứ hai

Ngoài ra còn có một lỗ thực thi mã nhân được đặt tên là CVE-2022-32894, theo đó kẻ tấn công đã có được chỗ đứng cơ bản trên thiết bị Apple của bạn bằng cách khai thác lỗi WebKit nói trên…

… Có thể chuyển từ việc chỉ kiểm soát một ứng dụng duy nhất trên thiết bị của bạn sang tiếp quản chính nhân hệ điều hành, do đó có được loại “siêu năng lực quản trị” thường được dành cho chính Apple.

Điều này gần như chắc chắn có nghĩa là kẻ tấn công có thể:

• Gián điệp trên bất kỳ và tất cả các ứng dụng hiện đang chạy
• Tải xuống và bắt đầu các ứng dụng bổ sung mà không cần thông qua App Store
• Truy cập hầu hết tất cả dữ liệu trên thiết bị
• Thay đổi cài đặt bảo mật hệ thống
• Truy xuất vị trí của bạn
• Chụp ảnh màn hình
• Sử dụng máy ảnh trong thiết bị
• Kích hoạt micro
• Sao chép tin nhắn văn bản
• Theo dõi trình duyệt của bạn…

…và nhiều hơn nữa.

Apple đã không cho biết làm thế nào những lỗi này được tìm thấy (ngoại trừ tín dụng "Một nhà nghiên cứu ẩn danh"), không cho biết chúng đã bị khai thác ở đâu trên thế giới và cũng không cho biết ai đang sử dụng chúng hay cho mục đích gì.

Tuy nhiên, nói một cách dễ hiểu, một WebKit RCE đang hoạt động, theo sau là một khai thác hạt nhân đang hoạt động, như đã thấy ở đây, thường cung cấp tất cả các chức năng cần thiết để gắn một bản bẻ khóa thiết bị (do đó cố tình bỏ qua hầu hết tất cả các hạn chế bảo mật do Apple áp đặt) hoặc để cài đặt phần mềm gián điệp nền và giữ cho bạn được giám sát toàn diện.

Phải làm gì?

Vá cùng một lúc!

Tại thời điểm viết bài này, Apple đã công bố các lời khuyên cho iPad OS 15 và iOS 15, cả hai đều nhận được số phiên bản cập nhật của 15.6.1, Và cho macOS Monterey 12, nhận được số phiên bản cập nhật của 12.5.2.

• Trên iPhone hoặc iPad của bạn: Cài đặt > Tổng Quát > cập nhật phần mềm
• Trên máy Mac của bạn: Trình đơn Apple > Giới thiệu về Mac này > Cập nhật phần mềm…

Ngoài ra còn có một bản cập nhật cần XEM sang phiên bản 8.7.1, nhưng bản cập nhật đó không liệt kê bất kỳ số CVE nào và không có tư vấn bảo mật riêng.

Không có thông tin nào về việc các phiên bản macOS được hỗ trợ cũ hơn (Big Sur và Catalina) có bị ảnh hưởng nhưng chưa có bản cập nhật hay không hoặc liệu tvOS có dễ bị tấn công nhưng chưa được vá hay không.

Để biết thêm thông tin, hãy xem không gian này và theo dõi trang cổng thông tin Bản tin bảo mật chính thức của Apple, HT201222.