Days After Google, Apple Reveals Exploited Zero-Day In Browser Engine

Julkaissut Platon

seuraajia: 0

Apple on korjannut aktiivisesti hyödynnetyn nollapäivän virheen WebKit-selainmoottorissaan Safarille.

Virhe, määritetty nimellä CVE-2024-23222, juontuu sanasta a tyyppi sekaannusvirhe, mikä pohjimmiltaan tapahtuu, kun sovellus olettaa virheellisesti vastaanottamansa syötteen olevan tietyn tyyppistä ilman, että se itse asiassa vahvistaa – tai validoi virheellisesti – että näin on.

Aktiivisesti hyödynnetty

Apple kuvaili eilen haavoittuvuutta sellaiseksi, jota hyökkääjä voisi hyödyntää suorittaakseen mielivaltaisen koodin haavoittuvissa järjestelmissä. "Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää", yhtiön tiedotteessa todettiin tarjoamatta tarkempia tietoja.

Yhtiö on julkaissut päivitetyt versiot iOS:n, iPadOS:n, macOS:n, iPadOS:n ja tvOS:n lisätarkistuksilla haavoittuvuuden korjaamiseksi.

CVE-2024-23222 on ensimmäinen nollapäivän haavoittuvuus, jonka Apple on paljastanut WebKitissä vuonna 2024. Viime vuonna yhtiö paljasti yhteensä 11 nollapäivän bugia tekniikassa – kaikkien aikojen eniten yhden kalenterivuoden aikana. Vuodesta 2021 lähtien Apple on paljastanut yhteensä 22 WebKit-nollapäivän virhettä, mikä korostaa sekä tutkijoiden että hyökkääjien kasvavaa kiinnostusta selaimeen.

Samanaikaisesti Apple julkisti uuden WebKitin nollapäivän, joka seuraa Googlen viime viikolla julkistamista. nollapäivä Chromessa. Se on ainakin kolmas kerta viime kuukausina, jolloin molemmat toimittajat ovat paljastaneet nollapäivät omissa selaimissaan lähellä toisiaan. Suuntaus viittaa siihen, että tutkijat ja hyökkääjät etsivät lähes yhtä paljon puutteita molemmissa teknologioissa, todennäköisesti koska Chrome ja Safari ovat myös yleisimmin käytetyt selaimet.

Vakoilun uhka

Apple ei ole paljastanut äskettäin paljastettuun nollapäivän bugiin kohdistuvan hyväksikäyttötoiminnan luonnetta. Mutta tutkijat ovat raportoineet nähneensä kaupallisten vakoiluohjelmien myyjien väärinkäyttävän joitain yrityksen uudempia ohjelmistoja pudottaakseen valvontaohjelmistoja kohdehenkilöiden iPhone-puhelimiin.

Syyskuussa 2023 Toronton yliopiston Citizen Lab varoitti Applea siitä kaksi napsautustonta nollapäivän haavoittuvuutta iOS:ssä valvontaohjelmistojen toimittaja oli käyttänyt hyväkseen Predator-spyware-työkalun pudottamista iPhoneen, joka kuului Washington DC:ssä toimivan organisaation työntekijälle. Samassa kuussa Citizen Labin tutkijat raportoivat myös erillisestä nollapäivän hyväksikäyttöketjusta - joka sisälsi Safari-bugin - he olivat havainneet kohdistuvan iOS-laitteisiin.

Google on ilmoittanut samankaltaisista huolenaiheista Chromessa, melkein yhdessä Applen kanssa, muutaman kerran viime aikoina. Esimerkiksi syyskuussa 2023, lähes samaan aikaan, kun Apple paljasti nollapäivän virheensä, Googlen uhka-analyysiryhmän tutkijat tunnistivat kaupallisen ohjelmistoyrityksen nimeltä Intellexa kehittävän hyväksikäyttöketjua, joka sisälsi Chromen nollapäivän (CVE-2023-4762) — Predatorin asentaminen Android-laitteisiin. Vain muutama päivä aiemmin Google oli paljastanut toisen nollapäivän Chromessa (CVE-2023-4863) samassa kuvankäsittelykirjastossa, jossa Apple oli julkistanut nollapäivän.

Selainturvallisuusyrityksen Menlo Securityn turvallisuusarkkitehti Lionel Litty sanoo, että on vaikea sanoa, onko Googlen ja Applen vuoden 2024 ensimmäisten selaimen nollapäivien välillä yhteyttä, kun otetaan huomioon tällä hetkellä saatavilla olevat rajalliset tiedot. "Chrome CVE oli JavaScript-moottorissa (v8) ja Safari käyttää eri JavaScript-moottoria", Litty sanoo. "Ei kuitenkaan ole harvinaista, että eri toteutuksissa on hyvin samanlaisia puutteita."

Kun hyökkääjät ovat löytäneet pehmeän paikan yhdestä selaimesta, heidän tiedetään tutkivan myös muita selaimia samalla alueella, Litty sanoo. "Joten, vaikka on epätodennäköistä, että tämä on täsmälleen sama haavoittuvuus, ei olisi liian yllättävää, jos kahden luonnonvaraisen hyväksikäytön välillä olisi yhteistä DNA:ta."

Räjähdys nollatunnin selainpohjaisissa tietojenkalasteluhyökkäyksissä

Valvontatoimittajat eivät ylivoimaisesti ole ainoita, jotka yrittävät hyödyntää selaimen haavoittuvuuksia ja selaimia yleensä. Menlo Securityn pian julkaistavan raportin mukaan selainpohjaisten tietojenkalasteluhyökkäysten määrä lisääntyi 198 % vuoden 2023 toisella puoliskolla verrattuna vuoden ensimmäiseen kuukauteen. Välttelevät hyökkäykset – kategoria, jonka Menlo kuvailee käyttävän tekniikoita perinteisten suojausohjausten kiertämiseen – kasvoi vieläkin korkeammalle, 206 %, ja niiden osuus kaikista selainpohjaisista hyökkäyksistä oli 30 % vuoden 2023 jälkipuoliskolla.

Menlo kertoo havainneensa 30 päivän aikana yli 11,000 XNUMX niin sanottua "nolla tunnin" selainpohjaista tietojenkalasteluhyökkäystä, jotka kiertävät Secure Web Gatewayn ja muiden päätepisteiden uhkien havaitsemistyökaluja.

"Selain on yrityssovellus, jota ilman yritykset eivät voi elää, mutta se on jäänyt jälkeen tietoturvan ja hallittavuuden näkökulmasta", Menlo sanoi tulevassa raportissa.