Apples hemmelighed er ude: 3 nul-dage fastsat, så sørg for at lappe nu!

Apples hemmelighed er ude: 3 nul-dage fastsat, så sørg for at lappe nu!

Tidsstempel: 18. maj 2023 kl. 9
Kildeknude: 2662161
by Paul Ducklin

Husk den lynlåste, men superhurtige opdatering fra Apple skubbet ud for tre uger siden, den 2023-05-01?

Den opdatering var den allerførste i Apples nymodens Hurtig sikkerhedsreaktion proces, hvorved virksomheden kan skubbe kritiske patches ud til vigtige systemkomponenter uden at gå igennem en operativsystemopdatering i fuld størrelse, der fører dig til et nyt versionsnummer.

Som vi tænkte i Naked Securirty-podcasten den uge:

Apple har netop introduceret "hurtige sikkerhedssvar." Folk rapporterer, at de tager sekunder at downloade og kræver en superhurtig genstart. [Men] hvad angår at være ordknappe [om opdateringen], er de lynlåste. Absolut ingen information om hvad det handlede om. Men det var dejligt og hurtigt!

Godt for nogle

Desværre var disse nye Rapid Security Responses kun tilgængelige for den allernyeste version af macOS (i øjeblikket Ventura) og den nyeste iOS/iPadOS (i øjeblikket på version 16), som efterlod brugere af ældre Macs og iDevices, såvel som ejere af Apple Watches og Apple TV i mørke.

Apples beskrivelse af de nye hurtige patches antydede, at de typisk ville håndtere nul-dage-fejl, der påvirkede kernesoftware såsom Safari-browseren og WebKit, som er den webgengivelsesmotor, som enhver browser er forpligtet til at bruge på iPhones og iPads.

Teknisk set kunne du oprette en iPhone- eller iPad-browserapp, der brugte Chromium-motoren, som Chrome og Edge gør, eller Gecko-motoren, som Mozillas browsere gør, men Apple ville ikke lukke den ind i App Store, hvis du gjorde.

Og fordi App Store er den eneste "walled garden"-kilde til apps til Apples mobile enheder, det er det: det er WebKit-måden, eller ingen måde.

Grunden til, at kritiske WebKit-fejl har tendens til at være mere farlige end fejl i mange andre applikationer, er, at browsere helt bevidst bruger deres tid på at hente indhold hvor som helst og overalt på internettet.

Browsere behandler derefter disse ikke-pålidelige filer, der leveres eksternt af andres webservere, konverterer dem til synligt, klikbart indhold og viser dem som websider, du kan interagere med.

Du forventer, at din browser aktivt vil advare dig og udtrykkeligt anmode om tilladelse, før du udfører handlinger, der anses for potentielt farlige, såsom aktivering af dit webcam, indlæsning af filer, der allerede er gemt på din enhed, eller installation af ny software.

Men du forventer også, at indhold, der ikke anses for at være direkte farligt, såsom billeder, der skal vises, videoer, der skal afspilles, og så videre, bliver behandlet og præsenteret for dig automatisk.

Simpelthen sagt, blot besøger en webside bør ikke bringe dig i fare for at få malware implanteret på din enhed, dine data stjålet, dine adgangskoder opsnuset, dit digitale liv udsat for spyware eller enhver form for misbrug af den slags.

Medmindre der er en fejl

Medmindre der selvfølgelig er en fejl i WebKit (eller måske flere fejl, der kan kombineres strategisk), så din browser kan blive narret til at gøre noget ved blot at forberede en bevidst fanget billedfil eller video eller JavaScript-popup. det burde det ikke.

Hvis cyberkriminelle eller spyware-sælgere eller jailbreakers eller sikkerhedstjenester fra en regering, der ikke kan lide dig, eller faktisk nogen med dine værste interesser på hjerte, afslører en udnyttelig fejl af denne art, kan de muligvis kompromittere cybersikkerheden af hele din enhed...

...simpelthen ved at lokke dig til en ellers uskyldigt udseende hjemmeside, som burde være helt sikker at besøge.

Nå, Apple har lige fulgt op på deres seneste Rapid Security Resonse-patches med komplette opdateringer til alle dets understøttede produkter, og blandt sikkerhedsbulletinerne for disse patches har vi endelig fundet ud af, hvad disse Rapid Responses var der for at ordne.

To nul-dage:

  • CVE-2023-28204: WebKit. En læsning uden for grænserne blev behandlet med forbedret inputvalidering. Behandling af webindhold kan afsløre følsomme oplysninger. Apple er bekendt med en rapport om, at dette problem kan være blevet aktivt udnyttet.
  • CVE-2023-32373: WebKit. Et problem uden brug blev løst med forbedret hukommelsesstyring. Behandling af ondsindet webindhold kan føre til vilkårlig kodeudførelse. Apple er bekendt med en rapport om, at dette problem kan være blevet aktivt udnyttet.

Generelt set, når to nul-dage af denne slags dukker op på samme tid i WebKit, er det et godt bud, at de er blevet kombineret af kriminelle for at skabe et to-trins overtagelsesangreb.

Bugs, der ødelægger hukommelsen ved at overskrive data, der ikke bør røres (f.eks. CVE-2023-32373), er altid dårlige, men moderne operativsystemer inkluderer mange runtime-beskyttelser, der har til formål at forhindre, at sådanne fejl udnyttes til at tage kontrol over buggy-programmet.

For eksempel, hvis operativsystemet tilfældigt vælger, hvor programmer og data ender i hukommelsen, kan cyberkriminelle ofte ikke gøre meget mere end at nedbryde det sårbare program, fordi de ikke kan forudsige, hvordan den kode, de angriber, er lagt i hukommelsen .

Men med præcise oplysninger om, hvad der er hvor, kan en rå, "crashtastic" udnyttelse nogle gange forvandles til en "crash-and-behold-kontrol" udnyttelse: det, der kendes under det selvbeskrivende navn på en fjern kodeudførelse hul.

Naturligvis kan fejl, der lader angribere læse fra hukommelsesplaceringer, som de ikke er formodede (f.eks. CVE-2023-28204), ikke kun føre direkte til datalækage og datatyveri, men også indirekte føre til "nedbrud-og-behold- control” angreb, ved at afsløre hemmeligheder om hukommelseslayoutet inde i et program og gøre det nemmere at overtage.

Spændende nok er der en tredje nul-dag patch i de seneste opdateringer, men denne blev tilsyneladende ikke rettet i Rapid Security Response.

  • CVE-2023-32409: WebKit. Problemet blev løst med forbedrede grænsekontrol. En fjernangriber kan muligvis bryde ud af webindholdssandkassen. Apple er bekendt med en rapport om, at dette problem kan være blevet aktivt udnyttet.

Som du kan forestille dig, ville en kombination af disse tre nul-dage svare til en hjemmekørsel til en angriber: den første fejl afslører de hemmeligheder, der er nødvendige for at udnytte den anden fejl pålideligt, og den anden fejl tillader, at kode implanteres for at udnytte den tredje. …

…på hvilket tidspunkt har angriberen ikke blot overtaget den "murede have" på din nuværende webside, men grebet kontrol over hele din browser, eller endnu værre.

Hvad skal jeg gøre?

Sørg for, at du er lappet! (Gå til Indstillinger > Generelt > Software opdatering.)

Selv enheder, der allerede modtog et hurtigt sikkerhedssvar i starten af ​​marts 2023, har en nul-dag, der stadig skal repareres.

Og alle platforme har modtaget mange andre sikkerhedsrettelser til fejl, der kunne udnyttes til angreb så forskellige som: at omgå fortrolighedspræferencer; adgang til private data fra låseskærmen; læse dine placeringsoplysninger uden tilladelse; spionere på netværkstrafik fra andre apps; og mere.

Efter opdatering bør du se følgende versionsnumre:

  • watchOS: nu i version 9.5
  • tvOS: nu i version 16.5
  • iOS 15 og iPadOS 15: nu i version 15.7.6
  • iOS 16 og iPadOS 16: nu i version 16.5
  • macOS Big Sur: nu på 11.7.7
  • macOS Monterey: nu på 12.6.6
  • macOS Ventura: nu på 13.4

Vigtigt: hvis du har macOS Big Sur eller macOS Monterey, er disse vigtige WebKit-patches ikke pakket sammen med versionsopdateringen til operativsystemet, men leveres i en separat opdateringspakke kaldet Safari 16.5.

Ha 'det sjovt!

Tidsstempel:

Mere fra Naked Security