Tajemnicze łatki aktualizacji iPhone'a przeciwko awariom poczty w systemie iOS 16

Korzystamy z aplikacji Apple Mail przez cały dzień, każdego dnia do obsługi pracy i osobistej poczty e-mail, w tym mnóstwo bardzo mile widzianych komentarzy Naked Security, pytań, pomysłów na artykuły, raportów o literówkach, sugestii podcastów i wielu innych.

(Niech nadchodzą – otrzymujemy o wiele więcej pozytywnych i użytecznych wiadomości, że trolle trafiają do nas, i uwielbiamy to utrzymywać: tips@sophos.com jak do nas dojechać.)

Zawsze uważaliśmy, że aplikacja Mail jest bardzo użytecznym koniem roboczym, który dobrze nam odpowiada: nie jest specjalnie wymyślny; nie jest pełen funkcji, z których nigdy nie korzystamy; to wizualnie proste; i (jak na razie) jest zaciekle niezawodny.

Ale w najnowszej wersji aplikacji musiał być poważny problem, bo Apple po prostu wypchnięty łatka bezpieczeństwa z jednym błędem dla iOS 16, biorąca numer wersji do iOS 16.0.3i naprawianie luki w zabezpieczeniach programu Mail:

Wymieniony jest jeden i tylko jeden błąd:

Zagrożenie: przetworzenie złośliwie spreparowanej wiadomości e-mail może prowadzić do ataku typu „odmowa usługi”. Opis: naprawiono błąd sprawdzania poprawności danych wejściowych przez poprawienie sprawdzania poprawności danych wejściowych. CVE-2022-22658

Biuletyny „jeden błąd”

Z naszego doświadczenia wynika, że ​​biuletyny bezpieczeństwa z „jednymi błędami” firmy Apple, a przynajmniej biuletyny o „nowych błędach” dla małych N, są raczej wyjątkiem niż regułą i często wydają się przychodzić, gdy istnieje wyraźne i aktualne niebezpieczeństwo, takie jak zero, którego można złamać. -dniowy exploit lub sekwencja exploitów.

Być może najbardziej znaną niedawną aktualizacją awaryjną tego rodzaju była podwójna poprawka zero-day w sierpniu 2022, który załatał atak z dwiema baryłkami składający się z dziury w zdalnym wykonaniu kodu w WebKit (sposób wejścia), a następnie lokalnej dziury w wykonaniu kodu w samym jądrze (sposób na całkowite przejęcie kontroli):

Błędy te zostały oficjalnie wymienione nie tylko jako znane osobom postronnym, ale także jako będące przedmiotem aktywnego nadużycia, prawdopodobnie w celu wszczepienia jakiegoś złośliwego oprogramowania, które mogłoby mieć oko na wszystko, co zrobiłeś, takie jak podglądanie wszystkich twoich danych, robienie tajnych zrzutów ekranu, podsłuchiwanie do rozmów telefonicznych i robienia zdjęć aparatem.

Około dwa tygodnie później Apple nawet się wymknął i nieoczekiwana aktualizacja dla iOS 12, stara wersja, którą większość z nas uważała za „abandonware”, wyraźnie nieobecną w oficjalnych aktualizacjach bezpieczeństwa Apple przez prawie rok wcześniej:

(Najwyraźniej iOS 12 był dotknięty błędem WebKit, ale nie następną dziurą w jądrze, która znacznie pogorszyła łańcuch ataków w nowszych produktach Apple).

Tym razem jednak nie ma wzmianki o tym, że błąd został załatany w aktualizacji do iOS 16.0.3 został zgłoszony przez kogokolwiek spoza firmy Apple, w przeciwnym razie spodziewalibyśmy się zobaczyć znalazcę wymienionego w biuletynie, nawet jeśli tylko jako „anonimowy badacz”.

Nie ma również sugestii, że błąd może być już znany atakującym i dlatego jest już wykorzystywany do psot lub gorzej…

…ale Apple wydaje się jednak uważać, że jest to luka warta opublikowania biuletynu bezpieczeństwa.

Masz pocztę, masz pocztę, masz pocztę…

Tak zwane odmowa usługi (DoS) lub rozbij-mnie-do-woli błędy są często uważane za słabe punkty na scenie z lukami, ponieważ generalnie nie zapewniają atakującym drogi do odzyskania danych, których nie powinni widzieć, lub uzyskania uprawnień dostępu, których nie powinni mieć, ani do uruchomienia złośliwego kodu według własnego wyboru.

Ale każdy błąd DoS może szybko przekształcić się w poważny problem, zwłaszcza jeśli powtarza się w kółko, gdy zostanie wyzwolony po raz pierwszy.

Taka sytuacja może łatwo wystąpić w aplikacjach do przesyłania wiadomości, jeśli po prostu dostęp do wiadomości z pułapką powoduje awarię aplikacji, ponieważ zazwyczaj musisz użyć aplikacji, aby usunąć kłopotliwą wiadomość…

… a jeśli awaria nastąpi wystarczająco szybko, nigdy nie masz wystarczająco dużo czasu, aby kliknąć ikonę kosza na śmieci lub przesunąć palcem i usunąć obraźliwą wiadomość, zanim aplikacja ulegnie awarii ponownie i ponownie.

Na przestrzeni lat pojawiło się wiele historii na temat tego rodzaju scenariuszy „tekstu śmierci” dla iPhone'a, w tym:

Oczywiście inny problem z tym, co żartobliwie nazywamy CRASH: GOTO CRASH Błędy w aplikacjach do przesyłania wiadomości polegają na tym, że inne osoby mogą wybrać, kiedy wysłać do Ciebie wiadomość i co umieścić w wiadomości…

…i nawet jeśli używasz jakiejś automatycznej reguły filtrowania w aplikacji do blokowania wiadomości od nieznanych lub niezaufanych nadawców, aplikacja zazwyczaj będzie musiała przetworzyć Twoje wiadomości, aby zdecydować, których się pozbyć.

(Zauważ, że ten raport o błędzie wyraźnie odnosi się do awarii spowodowanej „przetwarzanie złośliwie spreparowanej wiadomości e-mail”.)

W związku z tym aplikacja może i tak się zawiesić i może zawieszać się za każdym razem, gdy zostanie ponownie uruchomiona, gdy próbuje obsłużyć wiadomości, z którymi nie poradziła sobie ostatnim razem.

Co robić?

Niezależnie od tego, czy masz włączone automatyczne aktualizacje, przejdź do Ustawienia > Ogólne > Aktualizacja oprogramowania aby sprawdzić (i w razie potrzeby zainstalować) poprawkę.

Wersja, którą chcesz zobaczyć po aktualizacji, to iOS 16.0.3 lub później.

Biorąc pod uwagę, że Apple wypuścił łatkę bezpieczeństwa dla tego jedynego błędu DoS, domyślamy się, że stawką może być coś destrukcyjnego, jeśli atakujący rozgryzie ten błąd.

Na przykład możesz skończyć z ledwo nadającym się do użytku urządzeniem, które musiałbyś całkowicie wyczyścić i ponownie uruchomić, aby przywrócić je do prawidłowego działania…

---

DOWIEDZ SIĘ WIĘCEJ O LUKACH

---