Apple nekaj dni po Googlu razkrije izkoriščen Zero-Day v brskalniku

Ponovno objavil Platon

Spremljevalci: 0

Apple je popravil dejavno izkoriščeno napako zero-day v svojem brskalniku WebKit za Safari.

Napaka, dodeljena kot CVE-2024-23222, izhaja iz a napaka zmede tipa, kar se v bistvu zgodi, ko aplikacija nepravilno domneva, da je vhod, ki ga prejme, določene vrste, ne da bi dejansko preverila – ali nepravilno preverila –, da je tako.

Aktivno izkoriščan

Apple yesterday described the vulnerability as something an attacker could exploit to execute arbitrary code on affected systems. “Apple is aware of a report that this issue may have been exploited,” the company’s advisory noted, without offering any further details.

Družba je izdala posodobljene različice iOS, iPadOS, macOS, iPadOS in tvOS z dodatnimi preverjanji veljavnosti za odpravljanje ranljivosti.

CVE-2024-23222 je prva ranljivost zero-day, ki jo je Apple razkril v WebKitu leta 2024. Lani je podjetje razkrilo skupno 11 zero-day napak v tehnologiji – največ doslej v enem koledarskem letu. Od leta 2021 je Apple razkril skupno 22 napak WebKit zero-day, kar je poudarilo vse večje zanimanje za brskalnik tako s strani raziskovalcev kot napadalcev.

In parallel, Apple’s disclosure of the new WebKit zero-day follows on Google’s disclosure last week of a zero-day v Chromu. To je že vsaj tretjič v zadnjih mesecih, ko sta oba prodajalca razkrila ničelne dni v svojih brskalnikih v neposredni bližini drug drugega. Trend kaže, da raziskovalci in napadalci skoraj enako iščejo napake v obeh tehnologijah, verjetno zato, ker sta Chrome in Safari tudi najbolj razširjena brskalnika.

Vohunska grožnja

Apple has not disclosed the nature of the exploit activity targeting the newly disclosed zero-day bug. But researchers have reported seeing commercial spyware vendors abusing some of the company’s more recent ones, to drop surveillance software on iPhones of target subjects.

In September 2023, Toronto University’s Citizen Lab warned Apple about dve ranljivosti nič-dneva brez klika v sistemu iOS, ki ga je prodajalec programske opreme za nadzor izkoristil, da je orodje za vohunsko programsko opremo Predator spustil na iPhone, ki je pripadal uslužbencu v organizaciji s sedežem v Washingtonu, DC. Istega meseca so raziskovalci Citizen Laba poročali tudi o ločeni verigi izkoriščanja ničelnega dne – ki je vključevala hrošča Safari – odkrili so, da cilja na naprave iOS.

Google has flagged similar concerns in Chrome, almost in tandem with Apple, on a few occasions recently. In September 2023, for instance, near the same time Apple disclosed its zero-day bugs, researchers from Google’s threat analysis group identified a commercial software company called Intellexa as developing an exploit chain — which included a Chrome zero-day (CVE-2023-4762) — za namestitev Predatorja v naprave Android. Le nekaj dni prej je Google razkril še en ničelni dan v Chromu (CVE-2023-4863) v isti knjižnici za obdelavo slik, v kateri je Apple razkril ničelni dan.

Lionel Litty, chief security architect at browser security firm Menlo Security, says it’s hard to say if there’s any connection between Google and Apple’s first browser zero-days for 2024, given the limited information currently available. “The Chrome CVE was in the JavaScript engine (v8) and Safari uses a different JavaScript engine,” Litty says. “However, it is not uncommon for different implementations to have very similar flaws.”

Once attackers have found a soft spot in one browser, they are also known to probe other browsers in the same area, Litty says. “So, while it’s unlikely that this is the exact same vulnerability, it wouldn’t be too surprising if there was some shared DNA between the two in-the-wild exploits.”

Eksplozija napadov z lažnim predstavljanjem, ki temeljijo na brskalniku Zero-Hour

Prodajalci nadzornih sistemov še zdaleč niso edini, ki poskušajo izkoristiti ranljivosti brskalnikov in brskalnikov na splošno. Glede na poročilo Menlo Security, ki bo kmalu objavljeno, je prišlo do 198-odstotnega povečanja napadov z lažnim predstavljanjem v brskalniku v drugi polovici leta 2023 v primerjavi s prvimi šestimi meseci leta. Izmikajoči se napadi – kategorija, ki jo Menlo opisuje kot uporabo tehnik za izogibanje tradicionalnim varnostnim kontrolam – se je povečala še višje, za 206 %, in predstavljala 30 % vseh napadov prek brskalnika v drugi polovici leta 2023.

Over a 30-day period, Menlo says it observed more than 11,000 so-called “zero-hour” browser-based phishing attacks evade Secure Web Gateway and other endpoint threat detection tools.

“The browser is the business application enterprises can’t live without, but it has fallen behind from a security and manageability perspective,” Menlo said in the upcoming report.