Bí mật của Apple đã được tiết lộ: 3 zero-day đã được sửa, vì vậy hãy nhớ vá ngay bây giờ!

Bí mật của Apple đã được tiết lộ: 3 zero-day đã được sửa, vì vậy hãy nhớ vá ngay bây giờ!

Dấu thời gian: ngày 18 tháng 2023 năm 9 02:XNUMX chiều
Nút nguồn: 2662161
by Paul Ducklin

Hãy nhớ rằng bản cập nhật được nén nhưng siêu nhanh mà Apple đẩy ra ba tuần trước, vào ngày 2023-05-01?

Bản cập nhật đó là bản cập nhật đầu tiên trong thế giới mới của Apple Phản hồi bảo mật nhanh chóng quy trình, theo đó công ty có thể đưa ra các bản vá quan trọng cho các thành phần hệ thống chính mà không cần thông qua bản cập nhật hệ điều hành kích thước đầy đủ đưa bạn đến một số phiên bản mới.

Như chúng tôi đã suy ngẫm trong podcast Naked Securirty tuần đó:

Apple vừa giới thiệu “Phản hồi bảo mật nhanh”. Mọi người đang báo cáo rằng họ mất vài giây để tải xuống và yêu cầu một lần khởi động lại siêu nhanh. [Nhưng] đối với việc kín tiếng [về bản cập nhật], họ rất kín tiếng. Hoàn toàn không có thông tin gì về nó. Nhưng nó thật đẹp và nhanh chóng!

Tốt cho một số

Rất tiếc, các Phản hồi bảo mật nhanh mới này chỉ khả dụng cho phiên bản macOS mới nhất (hiện tại là Ventura) và iOS/iPadOS mới nhất (hiện tại là phiên bản 16), khiến người dùng máy Mac và iDevices cũ hơn cũng như chủ sở hữu Đồng hồ Apple và Apple TV, trong bóng tối.

Mô tả của Apple về các bản vá nhanh mới ngụ ý rằng chúng thường xử lý các lỗi zero-day ảnh hưởng đến phần mềm cốt lõi như trình duyệt Safari và WebKit, là công cụ kết xuất web mà mọi trình duyệt bắt buộc phải sử dụng trên iPhone và iPad.

Về mặt kỹ thuật, bạn có thể tạo ứng dụng trình duyệt iPhone hoặc iPad sử dụng công cụ Chromium, như Chrome và Edge, hoặc công cụ Gecko, như trình duyệt của Mozilla, nhưng Apple sẽ không cho phép ứng dụng này vào App Store nếu bạn làm như vậy.

Và bởi vì App Store là nguồn ứng dụng “khu vườn có tường bao quanh” duy nhất dành cho các thiết bị di động của Apple, nên đó là: đó là cách thức của WebKit hoặc không có cách nào.

Lý do khiến các lỗi quan trọng của WebKit có xu hướng nguy hiểm hơn các lỗi trong nhiều ứng dụng khác là do các trình duyệt hoàn toàn cố ý dành thời gian tìm nạp nội dung từ mọi nơi và mọi nơi trên internet.

Sau đó, các trình duyệt sẽ xử lý các tệp không đáng tin cậy này, được cung cấp từ xa bởi các máy chủ web của người khác, chuyển đổi chúng thành nội dung có thể xem, có thể nhấp và hiển thị chúng dưới dạng các trang web mà bạn có thể tương tác.

Bạn cho rằng trình duyệt của mình sẽ chủ động cảnh báo bạn và yêu cầu quyền một cách rõ ràng trước khi thực hiện các hành động được coi là có khả năng gây nguy hiểm, chẳng hạn như kích hoạt webcam, đọc các tệp đã được lưu trữ trên thiết bị của bạn hoặc cài đặt phần mềm mới.

Nhưng bạn cũng mong đợi nội dung không được coi là nguy hiểm trực tiếp, chẳng hạn như hình ảnh sẽ được hiển thị, video sẽ được hiển thị, tệp âm thanh sẽ được phát, v.v., sẽ được xử lý và hiển thị cho bạn một cách tự động.

Nói một cách đơn giản, chỉ đơn thuần là đến thăm một trang web không nên đặt bạn vào nguy cơ bị phần mềm độc hại cài vào thiết bị, dữ liệu của bạn bị đánh cắp, mật khẩu của bạn bị dò ra, cuộc sống số của bạn bị dính phần mềm gián điệp hoặc bất kỳ hành vi sai trái nào tương tự.

Trừ khi có lỗi

Tất nhiên, trừ khi có một lỗi trong WebKit (hoặc có lẽ một số lỗi có thể được kết hợp một cách chiến lược), do đó, chỉ bằng cách chuẩn bị một tệp hình ảnh, video hoặc cửa sổ bật lên JavaScript được đặt bẫy có chủ ý, trình duyệt của bạn có thể bị lừa thực hiện điều gì đó nó không nên.

Nếu tội phạm mạng, hoặc người bán phần mềm gián điệp, hoặc người bẻ khóa hoặc dịch vụ bảo mật của chính phủ không thích bạn, hoặc bất kỳ ai thực sự quan tâm đến lợi ích tồi tệ nhất của bạn, phát hiện ra một lỗi có thể khai thác thuộc loại này, thì họ có thể xâm phạm an ninh mạng của toàn bộ thiết bị của bạn…

…chỉ đơn giản bằng cách dụ bạn đến một trang web trông có vẻ ngây thơ mà lẽ ra phải hoàn toàn an toàn để truy cập.

Chà, Apple vừa tiếp tục các bản vá Phản hồi bảo mật nhanh mới nhất của mình với các bản cập nhật đầy đủ cho tất cả các sản phẩm được hỗ trợ của mình và trong số các bản tin bảo mật cho các bản vá đó, cuối cùng chúng tôi đã tìm ra Phản hồi nhanh đó là gì ở đó để sửa chữa.

Hai ngày không:

  • CVE-2023-28204: WebKit. Một lần đọc ngoài giới hạn đã được xử lý bằng xác thực đầu vào được cải thiện. Xử lý nội dung trang web có thể tiết lộ thông tin nhạy cảm. Apple biết về một báo cáo rằng vấn đề này có thể đã được khai thác tích cực.
  • CVE-2023-32373: WebKit. Một vấn đề sử dụng sau khi miễn phí đã được giải quyết với quản lý bộ nhớ được cải thiện. Việc xử lý nội dung web thủ công độc hại có thể dẫn đến việc thực thi mã tùy ý. Apple biết về một báo cáo rằng vấn đề này có thể đã được khai thác tích cực.

Nói chung, khi hai zero-day loại này xuất hiện cùng lúc trong WebKit, thì rất có thể chúng đã được bọn tội phạm kết hợp để tạo ra một cuộc tấn công tiếp quản hai bước.

Các lỗi làm hỏng bộ nhớ bằng cách ghi đè lên dữ liệu không được chạm vào (ví dụ: CVE-2023-32373) luôn có hại, nhưng các hệ điều hành hiện đại bao gồm nhiều biện pháp bảo vệ thời gian chạy nhằm ngăn chặn các lỗi như vậy bị lợi dụng để kiểm soát chương trình có lỗi.

Ví dụ: nếu hệ điều hành chọn ngẫu nhiên nơi các chương trình và dữ liệu kết thúc trong bộ nhớ, tội phạm mạng thường không thể làm gì hơn ngoài việc đánh sập chương trình dễ bị tấn công, vì chúng không thể dự đoán cách mã mà chúng đang tấn công được sắp xếp trong bộ nhớ. .

Nhưng với thông tin chính xác về những gì đang ở đâu, một khai thác thô sơ, “sự cố” đôi khi có thể biến thành một khai thác “sự cố và kiểm soát”: cái được biết đến với tên tự mô tả của một thực thi mã từ xa hố.

Tất nhiên, các lỗi cho phép kẻ tấn công đọc từ các vị trí bộ nhớ mà chúng không được phép (ví dụ: CVE-2023-28204) không chỉ có thể trực tiếp dẫn đến khai thác rò rỉ dữ liệu và đánh cắp dữ liệu, mà còn gián tiếp dẫn đến “sự cố và lưu giữ- kiểm soát” các cuộc tấn công, bằng cách tiết lộ các bí mật về cách bố trí bộ nhớ bên trong một chương trình và khiến nó dễ dàng chiếm đoạt hơn.

Thú vị thay, có lỗi zero-day thứ ba được vá trong các bản cập nhật mới nhất, nhưng lỗi này dường như không được sửa trong Phản hồi bảo mật nhanh.

  • CVE-2023-32409: WebKit. Vấn đề đã được giải quyết với kiểm tra giới hạn được cải thiện. Kẻ tấn công từ xa có thể thoát ra khỏi hộp cát Nội dung Web. Apple biết về một báo cáo rằng vấn đề này có thể đã được khai thác tích cực.

Như bạn có thể tưởng tượng, kết hợp ba zero-day này sẽ tương đương với việc kẻ tấn công chạy ngay tại nhà: lỗi đầu tiên tiết lộ những bí mật cần thiết để khai thác lỗi thứ hai một cách đáng tin cậy và lỗi thứ hai cho phép mã được cấy vào để khai thác lỗi thứ ba …

…tại thời điểm đó, kẻ tấn công không chỉ chiếm lấy “khu vườn có tường bao quanh” của trang web hiện tại của bạn mà còn nắm quyền kiểm soát toàn bộ trình duyệt của bạn hoặc tệ hơn.

Phải làm gì?

Hãy chắc chắn rằng bạn đã được vá! (Đi đến Cài đặt > Tổng Quát > Cập nhật phần mềm.)

Ngay cả những thiết bị đã nhận được Phản hồi bảo mật nhanh vào đầu tháng 2023 năm XNUMX vẫn có thời hạn XNUMX ngày để được vá.

Và tất cả các nền tảng đã nhận được nhiều bản sửa lỗi bảo mật khác cho các lỗi có thể bị khai thác cho các cuộc tấn công đa dạng như: bỏ qua tùy chọn quyền riêng tư; truy cập dữ liệu riêng tư từ màn hình khóa; đọc thông tin vị trí của bạn mà không được phép; theo dõi lưu lượng mạng từ các ứng dụng khác; và hơn thế nữa.

Sau khi cập nhật, bạn sẽ thấy các số phiên bản sau:

  • đồng hồ: bây giờ ở phiên bản 9.5
  • tvOS: bây giờ ở phiên bản 16.5
  • iOS 15 và iPadOS 15: bây giờ ở phiên bản 15.7.6
  • iOS 16 và iPadOS 16: bây giờ ở phiên bản 16.5
  • macOS Lớn Sur: bây giờ tại 11.7.7
  • macOS Monterey: bây giờ tại 12.6.6
  • macOS Ventura: bây giờ tại 13.4

Lưu ý quan trọng: nếu bạn có macOS Big Sur hoặc macOS Monterey, thì các bản vá lỗi WebKit cực kỳ quan trọng đó không đi kèm với bản cập nhật phiên bản hệ điều hành mà được cung cấp trong một gói cập nhật riêng có tên Safari 16.5.

Have fun!

Dấu thời gian:

Thêm từ An ninh trần trụi