KHẨN CẤP! Apple tung ra bản cập nhật zero-day cho iPhone và iPad cũ hơn

Chà, chúng tôi không mong đợi điều này!

Chiếc iPhone 6+ rất được yêu thích của chúng tôi, hiện đã gần tám năm tuổi nhưng vẫn trong tình trạng nguyên sơ, như mới cho đến khi có UDI gần đây (sự cố tháo dỡ ngoài ý muốn, hay còn được gọi là xe đạp prang, đập vỡ màn hình nhưng vẫn để thiết bị hoạt động tốt nếu không), đã không nhận được bất kỳ bản cập nhật bảo mật nào từ Apple trong gần một năm.

Bản cập nhật cuối cùng mà chúng tôi nhận được là trở lại vào 2021-09-23, khi chúng tôi cập nhật lên iOS 12.5.5.

Mọi bản cập nhật tiếp theo cho iOS và iPadOS 15 đã củng cố một cách dễ hiểu giả định của chúng tôi rằng Apple đã ngừng hỗ trợ iOS 12 và vì vậy chúng tôi đã hạ cấp iPhone cũ về chế độ chạy nền, chỉ như một thiết bị khẩn cấp cho bản đồ hoặc cuộc gọi điện thoại khi đang di chuyển.

(Chúng tôi nhận thấy rằng một vụ tai nạn khác sẽ khó có thể phá hỏng màn hình thêm nữa, vì vậy nó có vẻ là một sự thỏa hiệp hữu ích.)

Nhưng chúng tôi vừa nhận thấy rằng Sau cùng, Apple đã quyết định cập nhật iOS 12 một lần nữa.

Bản cập nhật mới này áp dụng cho các kiểu máy sau: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 và iPod touch thế hệ thứ 6. (Trước khi iOS 13.1 và iPadOS 13.1 ra mắt, iPhone và iPad sử dụng cùng một hệ điều hành, được gọi là iOS cho cả hai thiết bị.)

Chúng tôi đã không nhận được email Tư vấn bảo mật từ Apple, nhưng một người đọc Naked Security cảnh báo biết chúng tôi vẫn còn chiếc iPhone 6+ cũ đó hãy cho chúng tôi biết về Bản tin bảo mật của Apple HT213428. (Cảm ơn!)

Nói một cách đơn giản, Apple đã xuất bản một bản vá cho CVE-2022-32893, đó là một trong những hai lỗi zero-day bí ẩn đã nhận được các bản vá khẩn cấp trên hầu hết các nền tảng khác của Apple trước đó vào tháng 2022 năm XNUMX:

Cấy ghép phần mềm độc hại

Như bạn sẽ thấy trong bài viết ở trên, có một lỗi thực thi mã từ xa WebKit, CVE-2022-32893, bằng cách mà một kẻ bẻ khóa, một kẻ bán rong phần mềm gián điệp hoặc một số tội phạm mạng ranh ma có thể dụ bạn đến một trang web bị mắc bẫy và cấy phần mềm độc hại vào thiết bị của bạn, ngay cả khi tất cả những gì bạn làm là lướt qua một trang hoặc tài liệu trông có vẻ vô tội.

Sau đó, có một lỗi thứ hai trong hạt nhân, CVE-2022-32894, theo đó phần mềm độc hại có thể mở rộng các xúc tu của nó ra ngoài ứng dụng mà nó vừa xâm nhập (chẳng hạn như trình duyệt hoặc trình xem tài liệu) và kiểm soát các phần bên trong của hoạt động. chính hệ thống, do đó cho phép phần mềm độc hại theo dõi, sửa đổi hoặc thậm chí cài đặt các ứng dụng khác, vượt qua các biện pháp kiểm soát bảo mật nghiêm ngặt được ca tụng và nổi tiếng của Apple.

Vì vậy, đây là tin tốt: iOS 12 không dễ bị tấn công bởi phiên bản zero-day CVE-2022-32894 cấp nhân, điều này gần như chắc chắn tránh được nguy cơ bị xâm phạm toàn bộ hệ điều hành.

Nhưng đây là tin xấu: iOS 12 dễ bị tấn công bởi lỗi WebKit CVE-2022-32893, do đó các ứng dụng riêng lẻ trên điện thoại của bạn chắc chắn có nguy cơ bị xâm phạm.

Chúng tôi đoán rằng Apple hẳn đã gặp ít nhất một số người dùng có cấu hình cao (hoặc rủi ro cao hoặc cả hai) của điện thoại cũ bị xâm phạm theo cách này và quyết định tăng cường bảo vệ cho mọi người như một biện pháp phòng ngừa đặc biệt.

Sự nguy hiểm của WebKit

Hãy nhớ rằng các lỗi WebKit tồn tại, nói một cách lỏng lẻo, ở lớp phần mềm bên dưới Safari, do đó trình duyệt Safari của Apple không phải là ứng dụng duy nhất gặp rủi ro từ lỗ hổng này.

Tất cả các trình duyệt trên iOS, ngay cả Firefox, Edge, Chrome, v.v., đều sử dụng WebKit (đó là yêu cầu của Apple nếu bạn muốn ứng dụng của mình xuất hiện trên App Store).

Và bất kỳ ứng dụng nào hiển thị nội dung web cho các mục đích khác với mục đích duyệt web chung, chẳng hạn như trong các trang trợ giúp, Giới thiệu màn hình, hoặc thậm chí trong “trình duyệt nhỏ” tích hợp sẵn, cũng gặp rủi ro vì nó sẽ sử dụng WebKit dưới vỏ bọc.

Nói cách khác, chỉ “tránh Safari” và sử dụng trình duyệt của bên thứ ba không phải là cách giải quyết phù hợp trong trường hợp này.

Phải làm gì?

Bây giờ chúng ta biết rằng việc không có bản cập nhật cho iOS 12 khi các bản vá khẩn cấp mới nhất được tung ra cho các iPhone gần đây hơn không phải do iOS đã an toàn.

Nó chỉ đơn giản là do bản cập nhật chưa có sẵn.

Vì vậy, giờ chúng ta đã biết rằng iOS 12 is đang gặp rủi ro và việc khai thác chống lại CVE-2022-32893 đang được sử dụng trong cuộc sống thực và có sẵn một bản vá…

… Thì đó là một vấn đề khẩn cấp của Vá sớm / vá thường xuyên!

Truy cập Cài đặt > Tổng Quát > cập nhật phần mềmvà kiểm tra xem bạn có iOS 12.5.6.

Nếu bạn chưa nhận được bản cập nhật tự động, hãy nhấn Tải về và cài đặt để bắt đầu quy trình ngay lập tức:

---