Applova skrivnost je razkrita: popravljeni so 3 ničelni dnevi, zato poskrbite, da popravite zdaj!

Spomnite se tiste Apple-ove posodobitve z zadrgo, a zelo hitre izrinil pred tremi tedni, dne 2023-05-01?

Ta posodobitev je bila prva v Applovi novodobni različici Hiter varnostni odziv proces, pri katerem lahko podjetje izda kritične popravke za ključne komponente sistema, ne da bi šlo skozi posodobitev operacijskega sistema v polni velikosti, ki vas popelje do nove številke različice.

Ko smo tisti teden razmišljali v podcastu Naked Securirty:

Apple je pravkar predstavil »Hitre varnostne odzive«. Ljudje poročajo, da njihov prenos traja nekaj sekund in zahteva en zelo hiter ponovni zagon. [Ampak] glede tega, da so malobesedni [o posodobitvi], so tihi. Popolnoma nobene informacije, za kaj gre. Ampak bilo je lepo in hitro!

Za nekatere dobro

Na žalost so bili ti novi hitri varnostni odzivi na voljo samo za najnovejšo različico macOS (trenutno Ventura) in najnovejši iOS/iPadOS (trenutno različica 16), zaradi česar so ostali uporabniki starejših računalnikov Mac in naprav iDevices ter lastniki ur Apple. in Apple TV, v temi.

Applov opis novih hitrih popravkov je namigoval, da se običajno ukvarjajo z napakami ničelnega dne, ki so vplivale na osnovno programsko opremo, kot je brskalnik Safari, in WebKit, ki je mehanizem za spletno upodabljanje, ki ga mora vsak brskalnik uporabljati na iPhonih in iPadih.

Tehnično bi lahko ustvarili brskalniško aplikacijo za iPhone ali iPad, ki bi uporabljala mehanizem Chromium, kot to počneta Chrome in Edge, ali mehanizem Gecko, kot to počnejo Mozillini brskalniki, vendar je Apple ne bi pustil v App Store, če bi to storili.

In ker je App Store edini "obzidani vrt" vir aplikacij za Applove mobilne naprave, je to to: na način WebKita ali nikakor.

Razlog, da so kritične napake WebKit bolj nevarne kot napake v mnogih drugih aplikacijah, je v tem, da brskalniki namenoma porabijo svoj čas za pridobivanje vsebine od koder koli in povsod v internetu.

Brskalniki nato obdelajo te nezaupljive datoteke, ki jih na daljavo posredujejo spletni strežniki drugih ljudi, jih pretvorijo v vsebino, ki si jo je mogoče ogledati in klikniti, ter jih prikažejo kot spletne strani, s katerimi lahko komunicirate.

Pričakujete, da vas bo brskalnik aktivno opozoril in izrecno zahteval dovoljenje, preden izvede dejanja, ki se štejejo za potencialno nevarna, kot je aktiviranje vaše spletne kamere, branje datotek, ki so že shranjene v vaši napravi, ali namestitev nove programske opreme.

Pričakujete pa tudi, da se vsebina, ki se ne šteje za neposredno nevarno, na primer prikazane slike, prikazani videoposnetki, predvajane zvočne datoteke itd., samodejno obdela in prikaže.

Preprosto povedano, zgolj obisk spletna stran vas ne bi smela izpostavljati tveganju, da bi vam v napravo vsadili zlonamerno programsko opremo, vam ukradli podatke, prevohali vaša gesla, vaše digitalno življenje izpostavilo vohunski programski opremi ali kakršni koli zlorabi te vrste.

Razen če je napaka

Razen seveda, če je v WebKitu napaka (ali morda več napak, ki jih je mogoče strateško združiti), tako da bi vaš brskalnik zgolj s pripravo namerno umetne slikovne datoteke, videoposnetka ali pojavnega okna JavaScript lahko pretentali, da nekaj stori ne bi smelo.

Če kibernetski kriminalci, ali prodajalci vohunske programske opreme, ali begunci iz zapora, ali varnostne službe vlade, ki vas ne mara, ali pravzaprav kdorkoli, ki vam je v srcu največji interes, odkrijejo tovrstno napako, ki jo je mogoče izkoristiti, lahko ogrozijo kibernetsko varnost vaše celotne naprave …

... preprosto tako, da vas zvabi na sicer nedolžno spletno mesto, ki bi moralo biti popolnoma varno za obisk.

No, Apple je pravkar sledil svojim najnovejšim popravkom Rapid Security Resonse s popolnimi posodobitvami za vse svoje podprte izdelke in med varnostnimi bilteni za te popravke smo končno ugotovili, kateri so ti hitri odzivi. tam popraviti.

Dva dneva nič:

• CVE-2023-28204: WebKit. Branje izven meja je bilo obravnavano z izboljšanim preverjanjem vnosa. Obdelava spletne vsebine lahko razkrije občutljive podatke. Apple je seznanjen s poročilom, da je bila ta težava morda aktivno izkoriščena.
• CVE-2023-32373: WebKit. Težavo brez uporabe po brezplačni uporabi smo odpravili z izboljšanim upravljanjem pomnilnika. Obdelava zlonamerno izdelane spletne vsebine lahko privede do izvajanja poljubne kode. Apple je seznanjen s poročilom, da je bila ta težava morda aktivno izkoriščena.

Na splošno velja, da ko se v WebKitu istočasno prikažeta dva ničelna dneva te vrste, je dobro staviti, da so ju združili kriminalci, da bi ustvarili prevzemni napad v dveh korakih.

Napake, ki poškodujejo pomnilnik s prepisovanjem podatkov, ki se jih ne bi smeli dotikati (npr. CVE-2023-32373), so vedno slabe, vendar sodobni operacijski sistemi vključujejo veliko zaščit med izvajanjem, katerih cilj je preprečiti, da bi se takšne napake izkoriščale za prevzem nadzora nad hroščečim programom.

Na primer, če operacijski sistem naključno izbere, kje se programi in podatki znajdejo v pomnilniku, kibernetski kriminalci pogosto ne morejo storiti več kot sesuti ranljivega programa, ker ne morejo predvideti, kako je koda, ki jo napadajo, razporejena v pomnilniku. .

Toda z natančnimi informacijami o tem, kaj je kje, lahko grobo, »crashtastic« izkoriščanje včasih spremenimo v izkoriščanje »crash-and-keep-control«: kar je znano pod samoopisnim imenom izvedba oddaljenega kode luknja.

Seveda hrošči, ki napadalcem omogočajo branje s pomnilniških lokacij, ki jih ne bi smeli (npr. CVE-2023-28204), ne morejo privesti le neposredno do uhajanja podatkov in izkoriščanja kraje podatkov, ampak posredno vodijo tudi do »zrušitve in ohranitve« nadzor«, z razkrivanjem skrivnosti o postavitvi pomnilnika znotraj programa in olajšanjem prevzema.

Zanimivo je, da je v najnovejših posodobitvah popravljen še tretji ničelni dan, vendar ta očitno ni bil popravljen v hitrem varnostnem odzivu.

• CVE-2023-32409: WebKit. Težava je bila odpravljena z izboljšanimi preverjanji meja. Oddaljeni napadalec bo morda lahko vdrl iz peskovnika spletne vsebine. Apple je seznanjen s poročilom, da je bila ta težava morda aktivno izkoriščena.

Kot si lahko predstavljate, bi bila kombinacija teh treh ničelnih dni enakovredna napadu napadalca: prvi hrošč razkriva skrivnosti, potrebne za zanesljivo izkoriščanje drugega hrošča, drugi hrošč pa omogoča vsaditev kode za izkoriščanje tretjega hrošča. …

…na tej točki napadalec ni samo zavzel "obzidanega vrta" vaše trenutne spletne strani, ampak je prevzel nadzor nad vašim celotnim brskalnikom ali še huje.

Kaj storiti?

Prepričajte se, da ste zakrpani! (Pojdi do Nastavitve > splošno > Posodobitev programske opreme.)

Celo naprave, ki so že prejele hitri varnostni odziv na začetku marca 2023, imajo še ničelni dan, ki ga je treba popraviti.

In vse platforme so prejele številne druge varnostne popravke za hrošče, ki bi jih lahko izkoristili za tako različne napade, kot so: izogibanje nastavitvam zasebnosti; dostop do zasebnih podatkov z zaklenjenega zaslona; branje informacij o vaši lokaciji brez dovoljenja; vohunjenje za omrežnim prometom iz drugih aplikacij; in več.

Po posodobitvi bi morali videti naslednje številke različice:

• watchOS: zdaj v različici 9.5
• tvOS: zdaj v različici 16.5
• iOS 15 in iPadOS 15: zdaj v različici 15.7.6
• iOS 16 in iPadOS 16: zdaj v različici 16.5
• macOS Big Sur: zdaj ob 11.7.7
• macOS Monterey: zdaj ob 12.6.6
• macOS Ventura: zdaj ob 13.4

Pomembno obvestilo: če imate macOS Big Sur ali macOS Monterey, ti zelo pomembni popravki WebKit niso priloženi posodobitvi različice operacijskega sistema, ampak so na voljo v ločenem paketu posodobitev, imenovanem Safari 16.5.

Have fun!

---

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoAiStream. Podatkovna inteligenca Web3. Razširjeno znanje. Dostopite tukaj.
• Kovanje prihodnosti z Adryenn Ashley. Dostopite tukaj.
• Kupujte in prodajajte delnice podjetij pred IPO s PREIPO®. Dostopite tukaj.
• vir: https://nakedsecurity.sophos.com/2023/05/19/apples-secret-is-out-3-zero-days-fixed-so-be-sure-to-patch-now/