Apple исправляет дыры нулевого дня — даже в новой iOS 16

Мы ждали iOS 16, учитывая недавнее мероприятие Apple, на котором были представлены iPhone 14 и другие обновленные аппаратные продукты.

Сегодня утром мы сделали Настройки > Общие > Обновление ПО, на всякий случай…

…но ничего не появилось.

Но где-то незадолго до 8 вечера сегодня по британскому времени [2022-09-12T18:31Z] в наш почтовый ящик попало множество уведомлений об обновлениях, сообщающих о любопытном сочетании новых и обновленных продуктов Apple.

Еще до того, как мы прочитали бюллетени, мы попытались Настройки > Общие > Обновление ПО снова, и на этот раз нам предложили апгрейд до Система IOS 15.7, с альтернативным обновлением, которое приведет нас прямо к Система IOS 16:

Обновление и обновление доступны одновременно!

(Мы пошли на обновление до iOS 16 — загрузка была чуть менее 3 ГБ, но после загрузки процесс пошел быстрее, чем мы ожидали, и пока все работает нормально.)

Обязательно обновите, даже если вы не обновляетесь

Просто чтобы было ясно, если вы не хотите модернизация до iOS 16, вам все равно нужно обновление, Потому что Система IOS 15.7 и iPadOS 15.7 обновления включают в себя множество исправлений безопасности, в том числе исправление ошибки, получившей название CVE-2022-32917.

Баг, обнаружение которого приписывают просто «анонимный исследователь», описывается следующим образом:

[Ошибка исправлена:] Ядро Доступно для: iPhone 6s и новее, iPad Pro (все модели), iPad Air 2 и новее, iPad 5-го поколения и новее, iPad mini 4 и новее, а также iPod touch (7-го поколения). приложение может выполнять произвольный код с привилегиями ядра. Apple известно об отчете о том, что эта проблема могла активно использоваться. Описание. Проблема устранена путем улучшенной проверки границ.

Как мы уже отмечали, когда Apple в последний раз экстренные исправления нулевого дня вышел, ошибка выполнения кода ядра означает, что даже невинно выглядящие приложения (возможно, включая приложения, которые попали в App Store, потому что они не вызывали явных красных флажков при проверке) могут вырваться из-под блокировки безопасности Apple для каждого приложения…

…и потенциально завладеть всем устройством, включая получение права на выполнение системных операций, таких как использование камеры или камер, активация микрофона, получение данных о местоположении, создание снимков экрана, отслеживание сетевого трафика до его шифрования (или после его расшифровки) ), доступ к файлам, принадлежащим другим приложениям, и многое другое.

Если действительно этот «проблема» (или дыры в безопасности как вы могли бы предпочесть это называть) активно эксплуатируется в дикой природе, разумно сделать вывод, что есть приложения, которые ничего не подозревающие пользователи уже установили, из того, что они считали надежным источником, даже если эти приложения содержали код для активации и злоупотреблять этой уязвимостью.

Интересно, что macOS 11 (Big Sur) получает собственное обновление для Macos 11.7, который закрывает вторую дыру нулевого дня, получившую название CVE-2022-32894, описанный точно теми же словами, что и бюллетень нулевого дня для iOS, процитированный выше.

Однако CVE-2022-32894 указана только как ошибка Big Sur, а более поздние версии операционной системы macOS 12 (Монтерей), iOS 15, iPadOS 15 и iOS 16, по-видимому, не затронуты.

Помните, что дыра в безопасности, которая была устранена только после того, как «плохие парни» уже выяснили, как ее использовать, известна как нулевого дня потому что было ноль дней, в течение которых даже самый внимательный пользователь или системный администратор мог бы заблаговременно установить исправление.

Полная история

Обновления, объявленные в этом раунде бюллетеней, включают следующее.

Мы перечислили их ниже в том порядке, в котором они пришли по электронной почте (в обратном числовом порядке), так что iOS 16 отображается внизу:

• ЯБЛОКО-SA-2022-09-12-5: Safari 16. Это обновление относится к macOS Big Sur (версия 11) и Monterey (версия 12). Обновление Safari для macOS 10 (Catalina) не указано. Две исправленные ошибки могут привести к удаленному выполнению кода, а это означает, что веб-сайт-ловушка может внедрить вредоносное ПО на ваш компьютер (которое впоследствии может использовать CVE-2022-32917, чтобы вступить во владение на уровне ядра), хотя ни одна из этих ошибок не указана в списке. как нулевые дни. (Видеть HT213442.)
• ЯБЛОКО-SA-2022-09-12-4: macOS Монтерей 12.6 Это обновление можно считать срочным, учитывая, что оно включает в себя исправление CVE-2022-32917. (Видеть HT213444.)
• ЯБЛОКО-SA-2022-09-12-3: macOS Биг Сур 11.7 Пакет исправлений, аналогичный перечисленным выше, для macOS Monterey, включая CVE-2022-32917 нулевого дня. Это обновление Big Sur также исправляет CVE-2022-32894, второй нулевой день ядра, описанный выше. (Видеть HT213443.)
• ЯБЛОКО-SA-2022-09-12-2: Система IOS 15.7 и iPadOS 15.7 Как было сказано в начале статьи, эти обновления исправляют CVE-2022-32917. (Видеть HT213445.)
• ЯБЛОКО-SA-2022-09-12-1: Система IOS 16 Большая! Помимо множества новых функций, это включает в себя исправления Safari, поставляемые отдельно для macOS (см. начало списка), и исправление для CVE-2022-32917. Интересно, что бюллетень по обновлению iOS 16 сообщает, что «Дополнительные записи CVE [будут] добавлены в ближайшее время», но не обозначает CVE-2022-23917 как нулевой день. Мы не можем сказать вам, связано ли это с тем, что iOS 16 еще официально не считалась «в дикой природе» сама по себе, или с тем, что известный эксплойт еще не работает в неисправленной бета-версии iOS 16. Но похоже, что ошибка действительно была перенесена из iOS 15 в кодовую базу iOS 16. (Видеть HT213446.)

Что делать?

Как всегда, Патч рано, патч часто.

Полномасштабное обновление с iOS 15 до Система IOS 16.0, как сообщается после установки, исправит известные ошибки в iOS 15. (Мы еще не видели анонса iPadOS 16.)

Если вы еще не готовы к обновлению, обязательно выполните обновление до Система IOS 15.7, из-за дыры ядра нулевого дня.

На iPad, для которых iOS 16 еще не упоминается, возьмите iPadOS 15.7 прямо сейчас — не медлите с ожиданием выхода iPadOS 16, учитывая, что вы оставите себя без необходимости подверженным известной уязвимости ядра.

На компьютерах Mac Monterey и Big Sur получают двойное обновление, одно для исправления Safari, которое становится Safari 16, и один для самой операционной системы, который приведет вас к Macos 11.7 (Биг-Сур) или Macos 12.6 (Монтерей).

На этот раз нет патча для iOS 12 и нет упоминания о macOS 10 (Catalina) — мы не можем сказать вам, больше ли Catalina не поддерживается или просто слишком старая, чтобы включать какие-либо из этих ошибок.

Следите за обновлениями CVE!

---