Patch eksekusi kode darurat dari Apple – tetapi bukan 0 hari

Tidak lama setelah kami berhenti untuk mengatur napas setelah meninjau 62 tambalan terbaru (atau 64, tergantung pada bagaimana Anda menghitung) dijatuhkan oleh Microsoft di Patch Selasa…

…daripada buletin keamanan terbaru Apple mendarat di kotak masuk kami.

Kali ini hanya ada dua perbaikan yang dilaporkan: untuk perangkat seluler yang menjalankan iOS atau iPadOS terbaru, dan untuk Mac yang menjalankan inkarnasi macOS terbaru, versi 13, lebih dikenal sebagai Ventura.

Untuk meringkas apa yang sudah menjadi laporan keamanan super-pendek:

• HT21304: Ventura diperbarui dari 13.0 hingga 13.0.1.
• HT21305: iOS dan iPadOS diperbarui dari 16.1 ke 16.1.1

Kedua buletin keamanan mencantumkan dua kelemahan yang persis sama, ditemukan oleh tim Project Zero Google, di perpustakaan bernama libxml2, dan secara resmi ditunjuk CVE-2022-40303 dan CVE-2022-40304.

Kedua bug ditulis dengan catatan bahwa "pengguna jarak jauh mungkin dapat menyebabkan penghentian aplikasi yang tidak terduga atau eksekusi kode arbitrer".

Tidak ada bug yang dilaporkan dengan kata-kata zero-day khas Apple di sepanjang baris bahwa perusahaan "mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif", jadi tidak ada saran bahwa bug ini adalah zero-days, setidaknya di dalam ekosistem Apple .

Tetapi hanya dengan dua bug yang diperbaiki, cukup dua minggu setelahnya Tambalan tahap terakhir Apple, mungkin Apple mengira lubang ini sudah matang untuk dieksploitasi dan dengan demikian mendorong apa yang pada dasarnya adalah tambalan satu bug, mengingat lubang ini muncul di komponen perangkat lunak yang sama?

Juga, mengingat bahwa penguraian data XML adalah fungsi yang dilakukan secara luas baik di sistem operasi itu sendiri maupun di banyak aplikasi; mengingat bahwa data XML sering kali datang dari sumber eksternal yang tidak tepercaya seperti situs web; dan mengingat bug secara resmi ditetapkan sebagai matang untuk eksekusi kode jarak jauh, biasanya digunakan untuk menanamkan malware atau spyware dari jarak jauh…

…mungkin Apple merasa bahwa bug ini terlalu berbahaya untuk dibiarkan lama tidak ditambal?

Lebih dramatis, mungkin Apple menyimpulkan bahwa cara Google menemukan bug ini cukup jelas sehingga orang lain mungkin dengan mudah menemukan mereka, mungkin bahkan tanpa benar-benar bermaksud, dan mulai menggunakannya untuk tujuan buruk?

Atau mungkin bug ditemukan oleh Google karena seseorang dari luar perusahaan menyarankan di mana untuk mulai mencari, sehingga menyiratkan bahwa kerentanan sudah diketahui oleh penyerang potensial meskipun mereka belum menemukan cara untuk mengeksploitasinya?

(Secara teknis, kerentanan yang belum dieksploitasi yang Anda temukan karena petunjuk perburuan bug yang dipetik dari selentingan keamanan siber sebenarnya bukan zero-day jika belum ada yang menemukan cara untuk menyalahgunakan lubang tersebut.)

Apa yang harus dilakukan?

Apa pun alasan Apple untuk mengeluarkan pembaruan mini ini begitu cepat setelah tambalan terakhirnya, mengapa menunggu?

Kami sudah memaksa pembaruan pada iPhone kami; unduhannya kecil dan pembaruan berjalan dengan cepat dan tampaknya lancar.

penggunaan Settings > Umum> Memperbarui perangkat lunak di iPhone dan iPad, dan Menu apel > Tentang Mac ini > Pembaruan perangkat lunak… di Mac.

Jika Apple menindaklanjuti patch ini dengan pembaruan terkait untuk produk lainnya, kami akan memberi tahu Anda.