Apple은 macOS, iPhone 및 iPad 사용자에게 이번 주에 즉시 공격을 받고 있는 XNUMX개의 제로데이에 대한 수정 사항이 포함된 각각의 업데이트를 설치하도록 촉구하고 있습니다. 패치는 공격자가 임의의 코드를 실행하여 궁극적으로 장치를 장악할 수 있는 취약점을 위한 것입니다.
실행 중인 영향을 받는 장치에 대해 패치를 사용할 수 있습니다. 아이폰 OS 15.6.1 과 macOS 몬테레이 12.5.1. 패치는 iOS 15 또는 Monterey 버전의 데스크톱 OS를 실행할 수 있는 모든 Apple 기기에 기본적으로 영향을 미치는 두 가지 결함을 해결합니다.
결함 중 하나는 커널 버그(CVE-2022-32894), iOS와 macOS 모두에 있습니다. Apple에 따르면 "향상된 범위 검사로 해결된 범위를 벗어난 쓰기 문제"입니다.
애플은 이 취약점으로 인해 애플리케이션이 커널 권한으로 임의의 코드를 실행할 수 있다고 밝혔습니다. 애플은 일반적으로 "적극적으로 악용되었을 수 있다"는 보고가 있다고 밝혔습니다.
두 번째 결함은 WebKit 버그(CVE-2022-32893으로 추적)로 식별되며, 이는 Apple이 향상된 경계 검사를 통해 해결한 경계를 벗어난 쓰기 문제입니다. Apple에 따르면 이 결함은 코드 실행으로 이어질 수 있는 악의적으로 제작된 웹 콘텐츠를 처리할 수 있도록 하며 악용 중인 것으로 보고되었습니다. WebKit은 iOS에서 작동하는 Safari 및 기타 모든 타사 브라우저를 구동하는 브라우저 엔진입니다.
페가수스 같은 시나리오
Apple이 공개한 것 외에는 거의 알려지지 않은 두 가지 결함의 발견은 익명의 연구원에 의해 인정되었습니다.
한 전문가는 최신 Apple 결함이 "공격자에게 장치에 대한 전체 액세스 권한을 효과적으로 부여할 수 있음"에 대해 우려를 표명했습니다. 페가수스 같은 국가 APT가 목표물을 포격하는 것과 유사한 시나리오 스파이웨어로 이스라엘 NSO 그룹이 iPhone 취약점을 악용하여 만든 것입니다.
"대부분의 사람들에게: 하루가 끝날 때까지 소프트웨어를 업데이트하십시오." 트위트 된 제로데이에 대해 SocialProof Security의 CEO인 Rachel Tobac이 말했습니다. Tobac은 "위협 모델이 높아진 경우(언론인, 활동가, 국가의 표적이 되는 등): 지금 업데이트하십시오"라고 경고했습니다.
제로데이가 넘쳐난다
이번 주 Google의 다른 뉴스와 함께 결함이 공개되었습니다. 패치 중 올해 들어 지금까지 Chrome 브라우저에 대한 다섯 번째 제로데이는 활성 공격을 받고 있는 임의 코드 실행 버그입니다.
의 수석 기술 이사인 Andrew Whaley는 "최고 기술 공급업체의 취약점이 위협 행위자에 의해 더 많이 발생하고 있다는 소식은 최고 수준의 기술 회사가 소프트웨어의 영구적인 보안 문제를 해결하기 위한 최선의 노력에도 불구하고 여전히 힘든 싸움으로 남아 있음을 보여줍니다"라고 말했습니다. 프로모션, 노르웨이 앱 보안 회사.
그는 아이폰의 편재성과 사용자가 일상 생활에서 모바일 장치에 전적으로 의존한다는 점을 고려할 때 iOS의 결함이 특히 걱정된다고 말했습니다. 그러나 이러한 장치를 보호해야 할 책임은 공급업체뿐만 아니라 사용자가 기존 위협을 더 잘 인식해야 한다고 Whale이 관찰했습니다.
그는 Threatpost에 보낸 이메일에서 "우리는 모두 모바일 장치에 의존하지만, 모바일 장치는 무적이 아닙니다. 사용자로서 우리는 데스크톱 운영 체제에서 하는 것처럼 경계를 유지해야 합니다."라고 말했습니다.
동시에 iPhone 및 기타 모바일 장치용 앱 개발자는 기술에 보안 제어 계층을 추가하여 보호를 위해 OS 보안에 덜 의존해야 한다고 Whaley는 말했습니다.
"우리의 경험에 따르면 이것이 충분히 일어나지 않고 있으며 잠재적으로 은행 및 기타 고객을 취약하게 만들 수 있습니다."라고 그는 말했습니다.
