חיכינו ל-iOS 16, לאור האירוע האחרון של אפל בו הושקו לקהל הרחב האייפון 14 ומוצרי חומרה משודרגים אחרים.
הבוקר, עשינו א הגדרות > כללי > עדכון תוכנה, רק למקרה…
... אבל שום דבר לא הופיע.
אבל זמן מה קצת לפני 8:2022 הלילה שעון בריטניה [09-12-18T31:XNUMXZ], שורה של הודעות עדכון נפלו לתיבת הדואר הנכנס שלנו, והכריזו על שילוב מוזר של מוצרי אפל חדשים ומעודכנים.
עוד לפני שקראנו את העלונים, ניסינו הגדרות > כללי > עדכון תוכנה שוב, והפעם הציעו לנו שדרוג ל iOS 15.7, עם שדרוג אלטרנטיבי שייקח אותנו ישר אל iOS 16:
עדכון ושדרוג זמינים בו זמנית!
(הלכנו על השדרוג ל-iOS 16 - ההורדה הייתה קצת פחות מ-3GB, אבל לאחר ההורדה התהליך עבר מהר יותר ממה שציפינו, ונראה שהכל עד כה עובד בסדר גמור.)
הקפד לעדכן גם אם לא תשדרג
רק שיהיה ברור, אם אתה לא רוצה שדרוג ל-iOS 16 עדיין, אתה עדיין צריך עדכון, בגלל ה iOS 15.7 ו iPadOS 15.7 עדכונים כוללים תיקוני אבטחה רבים, כולל תיקון לבאג שדובב CVE-2022-32917.
הבאג, שגילויו נזקף לזכותו פשוט "חוקר אנונימי", מתואר באופן הבא:
[באג תוקן:] ליבה זמין עבור: iPhone 6s ואילך, iPad Pro (כל הדגמים), iPad Air 2 ואילך, iPad דור 5 ואילך, iPad mini 4 ואילך, ו-iPod touch (דור 7) השפעה: An ייתכן שהיישום יוכל להפעיל קוד שרירותי עם הרשאות ליבה. אפל מודעת לדיווח שייתכן שהבעיה הזו נוצלה באופן פעיל. תיאור: הבעיה טופלה באמצעות בדיקות גבולות משופרות.
כפי שציינו מתי האחרון של אפל תיקוני חירום אפס יום יצא, באג ביצוע קוד ליבה פירושו שאפילו אפליקציות תמימות למראה (אולי כולל אפליקציות שנכנסו ל-App Store מכיוון שלא הרימו דגלים אדומים ברורים כאשר נבדקו) עלולות להתפרץ מנעילת האבטחה של אפל אפליקציה-אחר-אפליקציה...
...ועשויים להשתלט על המכשיר כולו, כולל נטילת הזכות לבצע פעולות מערכת כגון שימוש במצלמה או במצלמות, הפעלת המיקרופון, רכישת נתוני מיקום, צילום מסך, חטטנות בתעבורת רשת לפני שהיא מוצפנת (או לאחר פענוחה ), גישה לקבצים השייכים לאפליקציות אחרות, ועוד הרבה יותר.
אם, אכן, "נושא" זה (או חור אבטחה כפי שאולי תעדיף לקרוא לזה) נוצל באופן פעיל בטבע, סביר להסיק שיש אפליקציות שמשתמשים תמימים כבר התקינו, ממה שהם חשבו שהוא מקור מהימן, למרות שהאפליקציות האלה הכילו קוד להפעלה ולהשתמש לרעה בפגיעות זו.
באופן מסקרן, macOS 11 (Big Sur) מקבל עדכון משלה MacOS 11.7, שמתקן חור שני של יום אפס מדובב CVE-2022-32894, מתואר בדיוק באותן מילים כמו עלון iOS zero day שצוטט לעיל.
עם זאת, CVE-2022-32894 רשום כבאג ביג סור בלבד, כאשר גרסאות מערכת ההפעלה העדכניות יותר macOS 12 (Monterey), iOS 15, iPadOS 15 ו- iOS 16 כנראה לא מושפעות.
זכור שחור אבטחה שתוקן רק לאחר שהחבר'ה הרעים כבר הבינו כיצד לנצל אותו, ידוע בתור אפס-יום כי היו אפס ימים שבמהלכם אפילו המשתמש הנלהב ביותר או מנהל המערכת היו יכולים לבצע תיקון נגדו באופן יזום.
הסיפור המלא
העדכונים שהוכרזו בסבב העלונים הזה כוללים את הדברים הבאים.
רשמנו אותם למטה בסדר שהם הגיעו בדוא"ל (סדר מספרי הפוך) כך ש-iOS 16 מופיע בתחתית:
- APPLE-SA-2022-09-12-5: ספארי 16. עדכון זה חל על macOS Big Sur (גרסה 11) ומונטריי (גרסה 12). אין עדכון של Safari עבור macOS 10 (Catalina). שניים מהבאגים שתוקנו עלולים להוביל לביצוע קוד מרחוק, כלומר אתר ממולכד עלול להשתיל תוכנה זדונית במחשב שלך (שיכול לאחר מכן לעשות שימוש לרעה ב-CVE-2022-32917 כדי להשתלט ברמת הליבה), למרות שאף אחד מהבאגים הללו לא מופיע ברשימה בתור ימי אפס. (לִרְאוֹת HT213442.)
- APPLE-SA-2022-09-12-4: macOS Monterey 12.6 עדכון זה יכול להיחשב דחוף, בהתחשב בכך שהוא כולל תיקון עבור CVE-2022-32917. (לִרְאוֹת HT213444.)
- APPLE-SA-2022-09-12-3: macOS Big Sur 11.7 נתח טלאים דומה לאלו המפורטים לעיל עבור macOS Monterey, כולל CVE-2022-32917 zero-day. עדכון Big Sur זה מתקן גם את CVE-2022-32894, יום האפס השני של הקרנל שתואר לעיל. (לִרְאוֹת HT213443.)
- APPLE-SA-2022-09-12-2: iOS 15.7 ו iPadOS 15.7 כפי שצוין בתחילת המאמר, תיקון עדכונים אלה CVE-2022-32917. (לִרְאוֹת HT213445.)
- APPLE-SA-2022-09-12-1: iOS 16 הגדול! כמו גם חבורה של תכונות חדשות, זה כולל את תיקוני הספארי המסופקים בנפרד עבור macOS (ראה בראש רשימה זו), ותיקון עבור CVE-2022-32917. באופן מסקרן, עלון השדרוג של iOS 16 מייעץ על כך "[א]ערכי CVE נוספים [עתידים] להתווסף בקרוב", אך אינו מציין את CVE-2022-23917 כיום אפס. אם זה בגלל ש-iOS 16 עדיין לא נחשבה רשמית ל"בטבע" בעצמה, או בגלל שהניצול הידוע עדיין לא עובד בגרסת iOS 16 בטא לא מתוקנת, אנחנו לא יכולים להגיד לך. אבל נראה שהבאג אכן הועבר מ-iOS 15 לבסיס הקוד של iOS 16. (לִרְאוֹת HT213446.)
מה לעשות?
כמו תמיד, תיקון מוקדם, תיקון לעתים קרובות.
שדרוג מלא מ-iOS 15 ל iOS 16.0, כפי שהוא מדווח על עצמו לאחר ההתקנה, יתקן את הבאגים הידועים ב-iOS 15. (עדיין לא ראינו הודעה עבור iPadOS 16.)
אם אתה עדיין לא מוכן לשדרוג, הקפד לשדרג ל iOS 15.7, בגלל חור הגרעין של אפס יום.
באייפד, שעבורם iOS 16 עדיין לא מוזכר, תפס iPadOS 15.7 כרגע - אל תסתובב ותחכה ליציאת iPadOS 16, בהתחשב בעובדה שתשאיר את עצמך חשוף מיותר לפגם בקרנל ידוע.
במחשבי מקינטוש, מונטריי וביג סור מקבלים עדכון כפול, אחד לתיקון Safari, שהופך ספארי 16, ואחד עבור מערכת ההפעלה עצמה, שתיקח אותך אל MacOS 11.7 (ביג סור) או MacOS 12.6 (מונטריי).
אין תיקון ל-iOS 12 הפעם, וללא אזכור של macOS 10 (Catalina) - האם Catalina כבר לא נתמכת כעת, או פשוט ישנה מכדי לכלול אף אחד מהבאגים האלה, אנחנו לא יכולים לומר לך.
צפה במרחב הזה לעדכוני CVE!
