ऐप्पल से आपातकालीन कोड निष्पादन पैच - लेकिन 0-दिन नहीं

नवीनतम 62 पैच (या 64, आप कैसे गिनते हैं इसके आधार पर) की समीक्षा करने के बाद हमने जल्द ही अपनी सांस पकड़ने के लिए रोक दिया था। माइक्रोसॉफ्ट द्वारा गिरा दिया गया मंगलवार को पैच...

…की तुलना में Apple के नवीनतम सुरक्षा बुलेटिन हमारे इनबॉक्स में आए।

इस बार केवल दो रिपोर्ट किए गए सुधार थे: नवीनतम iOS या iPadOS चलाने वाले मोबाइल उपकरणों के लिए, और नवीनतम macOS अवतार चलाने वाले Mac के लिए, संस्करण 13, जिसे वेंचुरा के रूप में जाना जाता है।

संक्षेप में बताने के लिए कि पहले से ही सुपर-शॉर्ट सुरक्षा रिपोर्ट क्या हैं:

• HT21304: वेंचुरा 13.0 से अपडेट हो जाता है 13.0.1.
• HT21305: iOS और iPadOS 16.1 से 16.1.1

दो सुरक्षा बुलेटिनों में ठीक वैसी ही दो खामियों की सूची है, जिसे Google की प्रोजेक्ट जीरो टीम ने एक पुस्तकालय में पाया है libxml2, और आधिकारिक तौर पर नामित CVE-2022-40303 और CVE-2022-40304.

दोनों बग्स को नोट्स के साथ लिखा गया था "एक दूरस्थ उपयोगकर्ता अप्रत्याशित ऐप समाप्ति या मनमानी कोड निष्पादन का कारण बन सकता है".

ऐप्पल के सामान्य शून्य-दिन के शब्दों के साथ न तो बग की सूचना दी गई है कि कंपनी "एक रिपोर्ट से अवगत है कि इस मुद्दे का सक्रिय रूप से शोषण किया जा सकता है", इसलिए कोई सुझाव नहीं है कि ये बग शून्य-दिन हैं, कम से कम ऐप्पल के पारिस्थितिक तंत्र के अंदर .

लेकिन सिर्फ दो बग फिक्स के साथ, बस दो हफ्ते बाद ऐप्पल की पैच की आखिरी किश्त, शायद ऐप्पल ने सोचा कि ये छेद शोषण के लिए परिपक्व थे और इस प्रकार एक-बग पैच को अनिवार्य रूप से धक्का दिया गया, यह देखते हुए कि ये छेद एक ही सॉफ्टवेयर घटक में दिखाए गए हैं?

इसके अलावा, यह देखते हुए कि XML डेटा को पार्स करना ऑपरेटिंग सिस्टम और कई ऐप्स दोनों में व्यापक रूप से किया जाने वाला कार्य है; यह देखते हुए कि XML डेटा अक्सर अविश्वसनीय बाहरी स्रोतों जैसे वेबसाइटों से आता है; और दिए गए बग को आधिकारिक तौर पर रिमोट कोड निष्पादन के लिए परिपक्व के रूप में नामित किया गया है, आमतौर पर मैलवेयर या स्पाइवेयर को दूरस्थ रूप से प्रत्यारोपित करने के लिए उपयोग किया जाता है ...

…शायद Apple ने महसूस किया कि ये बग इतने व्यापक रूप से खतरनाक थे कि लंबे समय तक बिना पैच के छोड़े जा सकते थे?

अधिक नाटकीय रूप से, शायद Apple ने निष्कर्ष निकाला कि जिस तरह से Google ने इन बगों को पाया वह पर्याप्त रूप से स्पष्ट था कि कोई और आसानी से उन पर ठोकर खा सकता है, शायद वास्तव में बिना मतलब के भी, और बुरे के लिए उनका उपयोग करना शुरू कर दे?

या शायद बग Google द्वारा उजागर किए गए थे क्योंकि कंपनी के बाहर के किसी व्यक्ति ने सुझाव दिया था कि कहां देखना शुरू करना है, इस प्रकार इसका अर्थ यह है कि कमजोरियों को पहले से ही संभावित हमलावरों के लिए जाना जाता था, भले ही उन्हें अभी तक पता नहीं चला कि उनका शोषण कैसे किया जाए?

(तकनीकी रूप से, एक अभी तक नहीं शोषित भेद्यता जिसे आप साइबर सुरक्षा ग्रेपवाइन से बग-हंटिंग संकेतों के कारण खोजते हैं, वास्तव में एक शून्य-दिन नहीं है यदि किसी ने अभी तक यह पता नहीं लगाया है कि छेद का दुरुपयोग कैसे किया जाए।)

क्या करना है?

जो भी Apple के इस मिनी-अपडेट को अपने आखिरी पैच के बाद इतनी जल्दी खत्म करने का कारण है, इंतजार क्यों करें?

हमने पहले ही अपने iPhone पर अपडेट के लिए बाध्य कर दिया है; डाउनलोड छोटा था और अपडेट जल्दी और स्पष्ट रूप से सुचारू रूप से चला गया।

उपयोग सेटिंग > सामान्य जानकारी> सॉफ्टवेयर अद्यतन iPhones और iPads पर, और ऐप्पल मेनू > इस मैक के बारे में > सॉफ्टवेयर अपडेट… मैक पर।

यदि Apple अपने किसी अन्य उत्पाद से संबंधित अपडेट के साथ इन पैच का पालन करता है, तो हम आपको बताएंगे।