Le secret d'Apple est sorti : 3 jours zéro corrigés, alors assurez-vous d'appliquer le correctif maintenant !

Rappelez-vous cette mise à jour zippée mais ultra-rapide qu'Apple expulsé il y a trois semaines, le 2023-05-01 ?

Cette mise à jour était la toute première de la toute dernière version d'Apple. Réponse de sécurité rapide processus, par lequel l'entreprise peut déployer des correctifs critiques pour les composants clés du système sans passer par une mise à jour complète du système d'exploitation qui vous amène à un nouveau numéro de version.

Comme nous l'avons réfléchi dans le podcast Naked Securirty cette semaine-là :

Apple vient d'introduire "Rapid Security Responses". Les gens signalent qu'ils prennent quelques secondes pour télécharger et nécessitent un redémarrage ultra-rapide. [Mais] quant à être discret [à propos de la mise à jour], ils sont discrets. Absolument aucune information de quoi il s'agissait. Mais c'était sympa et rapide !

Bon pour certains

Malheureusement, ces nouvelles réponses rapides de sécurité n'étaient disponibles que pour la toute dernière version de macOS (actuellement Ventura) et le dernier iOS/iPadOS (actuellement sur la version 16), ce qui laissait les utilisateurs d'anciens Mac et iDevices, ainsi que les propriétaires d'Apple Watch. et Apple TV, dans le noir.

La description par Apple des nouveaux correctifs rapides impliquait qu'ils traiteraient généralement des bogues du jour zéro qui affectaient les logiciels de base tels que le navigateur Safari et WebKit, qui est le moteur de rendu Web que chaque navigateur est obligé d'utiliser sur les iPhones et les iPads.

Techniquement, vous pouvez créer une application de navigateur pour iPhone ou iPad qui utilise le moteur Chromium, comme le font Chrome et Edge, ou le moteur Gecko, comme le font les navigateurs de Mozilla, mais Apple ne le laisserait pas entrer dans l'App Store si vous le faisiez.

Et parce que l'App Store est la seule et unique source d'applications « jardin clos » pour les appareils mobiles d'Apple, c'est cela : c'est la voie WebKit, ou pas du tout.

La raison pour laquelle les bogues critiques de WebKit ont tendance à être plus dangereux que les bogues de nombreuses autres applications est que les navigateurs passent intentionnellement leur temps à récupérer du contenu de n'importe où et n'importe où sur Internet.

Les navigateurs traitent ensuite ces fichiers non fiables, fournis à distance par les serveurs Web d'autres personnes, les convertissent en contenu visible et cliquable et les affichent sous forme de pages Web avec lesquelles vous pouvez interagir.

Vous vous attendez à ce que votre navigateur vous avertisse activement et demande explicitement l'autorisation avant d'effectuer des actions considérées comme potentiellement dangereuses, telles que l'activation de votre webcam, la lecture de fichiers déjà stockés sur votre appareil ou l'installation de nouveaux logiciels.

Mais vous vous attendez également à ce que le contenu qui n'est pas considéré comme directement dangereux, comme les images à afficher, les vidéos à afficher, les fichiers audio à lire, etc., soit traité et présenté automatiquement.

En termes simples, simplement visite une page Web ne devrait pas vous exposer au risque d'avoir des logiciels malveillants implantés sur votre appareil, vos données volées, vos mots de passe reniflés, votre vie numérique soumise à des logiciels espions ou à toute malversation de ce type.

A moins qu'il y ait un bug

À moins, bien sûr, qu'il y ait un bogue dans WebKit (ou peut-être plusieurs bogues qui peuvent être stratégiquement combinés), de sorte qu'en préparant simplement un fichier image délibérément piégé, ou une vidéo, ou une fenêtre contextuelle JavaScript, votre navigateur pourrait être amené à faire quelque chose ça ne devrait pas.

Si des cybercriminels, ou des vendeurs de logiciels espions, ou des jailbreakers, ou les services de sécurité d'un gouvernement qui ne vous aime pas, ou même toute personne ayant à cœur vos pires intérêts, découvrent un bogue exploitable de ce type, ils peuvent être en mesure de compromettre la cybersécurité de tout votre appareil…

… simplement en vous attirant vers un site Web d'apparence innocente qui devrait être parfaitement sûr à visiter.

Eh bien, Apple vient de suivre ses derniers correctifs Rapid Security Resonse avec des mises à jour complètes pour tous ses produits pris en charge, et parmi les bulletins de sécurité pour ces correctifs, nous avons enfin découvert ce qu'étaient ces réponses rapides. là pour réparer.

Deux jours zéro :

• CVE-2023-28204 : Kit Web. Une lecture hors limites a été résolue avec une meilleure validation des entrées. Le traitement du contenu Web peut divulguer des informations sensibles. Apple a connaissance d'un rapport selon lequel ce problème pourrait avoir été activement exploité.
• CVE-2023-32373 : Kit Web. Un problème d'utilisation après libération a été résolu par une meilleure gestion de la mémoire. Le traitement de contenu Web conçu de manière malveillante peut entraîner l'exécution de code arbitraire. Apple a connaissance d'un rapport selon lequel ce problème pourrait avoir été activement exploité.

De manière générale, lorsque deux jours zéro de ce type apparaissent en même temps dans WebKit, il y a fort à parier qu'ils ont été combinés par des criminels pour créer une attaque de prise de contrôle en deux étapes.

Les bogues qui corrompent la mémoire en écrasant des données qui ne devraient pas être touchées (par exemple CVE-2023-32373) sont toujours mauvais, mais les systèmes d'exploitation modernes incluent de nombreuses protections d'exécution qui visent à empêcher l'exploitation de ces bogues pour prendre le contrôle du programme bogué.

Par exemple, si le système d'exploitation choisit au hasard où les programmes et les données se retrouvent en mémoire, les cybercriminels ne peuvent souvent pas faire grand-chose de plus que planter le programme vulnérable, car ils ne peuvent pas prédire comment le code qu'ils attaquent est disposé en mémoire. .

Mais avec des informations précises sur ce qui se trouve, un exploit rudimentaire et "crashtastic" peut parfois être transformé en un exploit "crash-and-keep-control": ce qui est connu sous le nom auto-descriptif d'un exécution de code à distance trou.

Bien sûr, les bogues qui permettent aux attaquants de lire à partir d'emplacements de mémoire auxquels ils ne sont pas censés (par exemple, CVE-2023-28204) peuvent non seulement conduire directement à des fuites de données et à des exploits de vol de données, mais aussi conduire indirectement à "planter et conserver". contrôle », en révélant des secrets sur la disposition de la mémoire à l'intérieur d'un programme et en facilitant la prise en charge.

Curieusement, il y a un troisième patch zero-day dans les dernières mises à jour, mais celui-ci n'a apparemment pas été corrigé dans Rapid Security Response.

• CVE-2023-32409 : Kit Web. Le problème a été résolu par des contrôles de limites améliorés. Un attaquant distant peut être en mesure de sortir du bac à sable du contenu Web. Apple a connaissance d'un rapport selon lequel ce problème pourrait avoir été activement exploité.

Comme vous pouvez l'imaginer, combiner ces trois zero-days serait l'équivalent d'un home run pour un attaquant : le premier bug révèle les secrets nécessaires pour exploiter le second bug de manière fiable, et le second bug permet d'implanter du code pour exploiter le troisième …

… à ce moment-là, l'attaquant n'a pas simplement pris le contrôle du "jardin clos" de votre page Web actuelle, mais a pris le contrôle de l'ensemble de votre navigateur, ou pire.

Que faire?

Assurez-vous d'être patché ! (Aller à Paramètres > Général > Mise à jour logicielle.)

Même les appareils qui ont déjà reçu une réponse de sécurité rapide début mars 2023 ont encore un jour zéro à corriger.

Et toutes les plates-formes ont reçu de nombreux autres correctifs de sécurité pour les bogues qui pourraient être exploités pour des attaques aussi variées que : le contournement des préférences de confidentialité ; accéder aux données privées depuis l'écran de verrouillage ; lire vos informations de localisation sans autorisation ; espionner le trafic réseau d'autres applications ; et plus.

Après la mise à jour, vous devriez voir les numéros de version suivants :

• watchOS : maintenant en version 9.5
• tvOS : maintenant en version 16.5
• iOS 15 et iPadOS 15 : maintenant en version 15.7.6
• iOS 16 et iPadOS 16 : maintenant en version 16.5
• macOS Big Sur : maintenant à 11.7.7
• macOS Monterey : maintenant à 12.6.6
• macOS Ventura : maintenant à 13.4

Remarque importante : si vous avez macOS Big Sur ou macOS Monterey, ces correctifs WebKit très importants ne sont pas intégrés à la mise à jour de la version du système d'exploitation, mais sont fournis dans un package de mise à jour séparé appelé Safari 16.5.

Amusez-vous!

---

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoAiStream. Intelligence des données Web3. Connaissance Amplifiée. Accéder ici.
• Frapper l'avenir avec Adryenn Ashley. Accéder ici.
• Achetez et vendez des actions de sociétés PRE-IPO avec PREIPO®. Accéder ici.
• La source: https://nakedsecurity.sophos.com/2023/05/19/apples-secret-is-out-3-zero-days-fixed-so-be-sure-to-patch-now/