Apple menambal lubang zero-day – bahkan di iOS 16 . yang baru

Kami telah menunggu iOS 16, mengingat Acara terbaru Apple di mana iPhone 14 dan produk perangkat keras yang ditingkatkan lainnya diluncurkan ke publik.

Pagi ini, kami melakukan Settings > Umum > Memperbarui perangkat lunak, untuk berjaga-jaga…

... tapi tidak ada yang muncul.

Tetapi beberapa saat sebelum jam 8 malam waktu Inggris [2022-09-12T18:31Z], serangkaian pemberitahuan pembaruan masuk ke kotak masuk kami, mengumumkan campuran aneh dari produk Apple baru dan yang diperbarui.

Bahkan sebelum kami membaca buletin, kami mencoba Settings > Umum > Memperbarui perangkat lunak lagi, dan kali ini kami ditawari upgrade ke iOS 15.7, dengan peningkatan alternatif yang akan membawa kita langsung ke iOS 16:

Pembaruan dan peningkatan tersedia secara bersamaan!

(Kami melakukan peningkatan ke iOS 16 – unduhan hanya di bawah 3GB, tetapi setelah diunduh, prosesnya berjalan lebih cepat dari yang kami harapkan, dan sejauh ini semuanya tampaknya berfungsi dengan baik.)

Pastikan untuk memperbarui bahkan jika Anda tidak meningkatkan

Untuk memperjelas, jika Anda tidak mau meningkatkan ke iOS 16 dulu, Anda masih perlu memperbarui, Karena iOS 15.7 dan iPadOS 15.7 pembaruan mencakup banyak tambalan keamanan, termasuk perbaikan untuk bug yang di-dubbing CVE-2022-32917.

Bug, penemuan yang dikreditkan hanya untuk “seorang peneliti anonim”, dijelaskan sebagai berikut:

[Bug ditambal di:] Kernel Tersedia untuk: iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7) Dampak: Sebuah aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel. Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif. Deskripsi: Masalah telah diatasi dengan pemeriksaan batas yang ditingkatkan.

Seperti yang kami tunjukkan saat Apple terakhir patch zero-day darurat keluar, bug eksekusi kode kernel berarti bahwa bahkan aplikasi yang tampak tidak bersalah (mungkin termasuk aplikasi yang berhasil masuk ke App Store karena tidak menimbulkan tanda bahaya yang jelas saat diperiksa) dapat meledak bebas dari penguncian keamanan aplikasi demi aplikasi Apple…

…dan berpotensi mengambil alih seluruh perangkat, termasuk merebut hak untuk melakukan operasi sistem seperti menggunakan kamera atau kamera, mengaktifkan mikrofon, memperoleh data lokasi, mengambil tangkapan layar, mengintip lalu lintas jaringan sebelum dienkripsi (atau setelah didekripsi ), mengakses file milik aplikasi lain, dan banyak lagi.

Jika, memang, "masalah" ini (atau lubang keamanan seperti yang Anda mungkin lebih suka menyebutnya) telah dieksploitasi secara aktif di alam liar, masuk akal untuk menyimpulkan bahwa ada aplikasi di luar sana yang telah diinstal oleh pengguna yang tidak curiga, dari apa yang mereka anggap sebagai sumber tepercaya, meskipun aplikasi tersebut berisi kode untuk mengaktifkan dan menyalahgunakan kerentanan ini.

Menariknya, macOS 11 (Big Sur) mendapatkan pembaruannya sendiri untuk MacOS 11.7, yang menambal lubang nol hari kedua yang dijuluki CVE-2022-32894, dijelaskan dengan kata-kata yang persis sama dengan buletin zero-day iOS yang dikutip di atas.

Namun, CVE-2022-32894 terdaftar sebagai bug Big Sur saja, dengan versi sistem operasi yang lebih baru macOS 12 (Monterey), iOS 15, iPadOS 15 dan iOS 16 tampaknya tidak terpengaruh.

Ingat bahwa lubang keamanan yang hanya diperbaiki setelah Orang Jahat sudah mengetahui cara mengeksploitasinya dikenal sebagai zero-day karena tidak ada hari di mana bahkan pengguna atau sysadmin yang paling tajam sekalipun dapat menambalnya secara proaktif.

Cerita lengkapnya

Pembaruan yang diumumkan dalam putaran buletin ini termasuk yang berikut.

Kami telah mencantumkannya di bawah dalam urutan kedatangannya melalui email (urutan numerik terbalik) sehingga iOS 16 muncul di bagian bawah:

• APPLE-SA-2022-09-12-5: Safari 16. Pembaruan ini berlaku untuk macOS Big Sur (versi 11) dan Monterey (versi 12). Tidak ada pembaruan Safari yang terdaftar untuk macOS 10 (Catalina). Dua bug yang diperbaiki dapat menyebabkan eksekusi kode jarak jauh, yang berarti bahwa situs web jebakan dapat menanamkan malware di komputer Anda (yang selanjutnya dapat menyalahgunakan CVE-2022-32917 untuk mengambil alih di tingkat kernel), meskipun tidak satu pun dari bug ini terdaftar sebagai zero-days. (Melihat HT213442.)
• APPLE-SA-2022-09-12-4: macOS Monterey 12.6 Pembaruan ini dapat dianggap mendesak, karena mencakup perbaikan untuk CVE-2022-32917. (Melihat HT213444.)
• APPLE-SA-2022-09-12-3: macOS Big Sur 11.7 Tambalan yang serupa dengan yang tercantum di atas untuk macOS Monterey, termasuk zero-day CVE-2022-32917. Pembaruan Big Sur ini juga menambal CVE-2022-32894, kernel zero day kedua yang dijelaskan di atas. (Melihat HT213443.)
• APPLE-SA-2022-09-12-2: iOS 15.7 dan iPadOS 15.7 Seperti yang dinyatakan di awal artikel, pembaruan ini menambal CVE-2022-32917. (Melihat HT213445.)
• APPLE-SA-2022-09-12-1: iOS 16 Yang besar! Selain banyak fitur baru, ini termasuk patch Safari yang dikirimkan secara terpisah untuk macOS (lihat bagian atas daftar ini), dan perbaikan untuk CVE-2022-32917. Menariknya, buletin pemutakhiran iOS 16 menyarankan bahwa “[a]entri CVE tambahan [akan] segera ditambahkan”, tetapi tidak menunjukkan CVE-2022-23917 sebagai hari nol. Entah itu karena iOS 16 belum secara resmi dianggap "di alam liar" itu sendiri, atau karena eksploit yang diketahui belum bekerja pada iOS 16 Beta yang belum ditambal, kami tidak dapat memberi tahu Anda. Tetapi bug tersebut tampaknya telah dibawa dari iOS 15 ke basis kode iOS 16. (Melihat HT213446.)

Apa yang harus dilakukan?

Selalu, Patch Awal, Patch Sering.

Upgrade besar-besaran dari iOS 15 ke iOS 16.0, seperti yang dilaporkan sendiri setelah penginstalan, akan menambal bug yang diketahui di iOS 15. (Kami belum melihat pengumuman untuk iPadOS 16.)

Jika Anda belum siap untuk meningkatkan, pastikan untuk meningkatkan ke iOS 15.7, karena lubang kernel zero-day.

Di iPad, yang iOS 16 belum disebutkan, ambil iPadOS 15.7 sekarang – jangan menunggu sampai iPadOS 16 keluar, mengingat Anda akan membiarkan diri Anda terpapar dengan kesalahan kernel yang diketahui dapat dieksploitasi.

Di Mac, Monterey, dan Big Sur mendapatkan pembaruan ganda, satu untuk menambal Safari, yang menjadi Safari 16, dan satu untuk sistem operasi itu sendiri, yang akan membawa Anda ke MacOS 11.7 (Sur Besar) atau MacOS 12.6 (Monter).

Tidak ada patch untuk iOS 12 kali ini, dan tidak disebutkan macOS 10 (Catalina) – apakah Catalina sekarang tidak lagi didukung, atau terlalu tua untuk menyertakan bug ini, kami tidak dapat memberi tahu Anda.

Perhatikan ruang ini untuk setiap pembaruan CVE!

---