Apple Bergegas Keluar Patch untuk 0-Hari di MacOS, iOS

Apple mengeluarkan tambalan selama dua hari nol yang memengaruhi macOS dan iOS pada hari Kamis, keduanya kemungkinan berada di bawah eksploitasi aktif dan dapat memungkinkan aktor ancaman untuk mengganggu atau mengakses aktivitas kernel.

Apple dirilis terpisah pembaruan keamanan untuk bug – kerentanan yang memengaruhi macOS dan iOS dilacak sebagai CVE-2022-22675 dan kelemahan macOS dilacak sebagai CVE-2022-22674. Penemuan mereka dikaitkan dengan seorang peneliti anonim.

CVE-2022-22675 – ditemukan di komponen AppleAVD yang ada di macOS dan iOS – dapat memungkinkan aplikasi untuk mengeksekusi kode arbitrer dengan hak istimewa kernel, menurut penasehatnya.

“Masalah penulisan di luar batas telah diatasi dengan pemeriksaan batas yang ditingkatkan,” menurut penasihat tersebut. "Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif."

CVE-2022-22674 dijelaskan dalam nasihat sebagai "masalah membaca di luar batas" di Driver Grafis Intel macOS yang dapat memungkinkan aplikasi membaca memori kernel. Apple mengatasi bug - yang mungkin juga telah dieksploitasi secara aktif - dengan validasi input yang ditingkatkan, kata perusahaan itu.

Seperti biasa, Apple tidak mengungkapkan lebih spesifik tentang masalah dan eksploitasi apa yang mungkin terjadi. Itu tidak akan melakukannya sampai menyelesaikan penyelidikan kerentanannya, menurut penasihat. Namun, pelanggan didesak untuk memperbarui perangkat sesegera mungkin untuk menambal bug.

Kesibukan Hari-Nol

Kerentanan mewakili kelemahan zero-day keempat dan kelima yang ditambal oleh Apple tahun ini. Jumlah itu berada di jalur yang tepat untuk memenuhi atau menggantikan jumlah jenis kerentanan ini yang terpaksa harus ditanggapi oleh Apple dengan perbaikan. tahun yg lalu, yaitu 12, menurut peneliti keamanan di Google, yang terus lembar kerja cacat zero-day dikategorikan oleh vendor.

Untuk memulai 2022, pada bulan Januari, Apple menambal dua bug zero-day, satu di OS perangkatnya dan satu lagi di mesin WebKit di dasar browser Safari-nya. Kemudian pada bulan Februari, Apple memperbaiki yang lain dieksploitasi secara aktif Bug WebKit, masalah penggunaan setelah bebas yang memungkinkan pelaku ancaman mengeksekusi kode arbitrer pada perangkat yang terpengaruh setelah mereka memproses konten web perusak yang berbahaya.

Tahun lalu, perusahaan bergulat dengan sejumlah WebKit zero-days serta perbaikan utama lainnya yang memerlukan pembaruan darurat untuk berbagai OS-nya, menurut spreadsheet Google.

Salah satu kelemahan itu berada di tengah salah satu kontroversi keamanan terbesar tahun ini – a kerentanan tanpa klik menargetkan iMessage yang dijuluki "ForcedEntry" itu Grup NSO Spyware Pegasus diduga dieksploitasi untuk memata-matai pada aktivis dan jurnalis. Situasi tersebut akhirnya menyebabkan aksi legal diambil terhadap perusahaan yang berbasis di Israel oleh anak perusahaan Facebook/Meta, WhatsApp serta Apple.

Pindah ke awan? Temukan ancaman keamanan cloud yang muncul bersama dengan saran yang solid tentang cara mempertahankan aset Anda dengan kami eBook GRATIS yang dapat diunduh, “Keamanan Cloud: Perkiraan untuk 2022.” Kami mengeksplorasi risiko dan tantangan utama organisasi, praktik terbaik untuk pertahanan, dan saran untuk keberhasilan keamanan dalam lingkungan komputasi yang dinamis, termasuk daftar periksa yang praktis.