Utilizatorii iPhone sunt îndemnați să actualizeze la Patch-ul 2 Zero-Zile

Apple îndeamnă utilizatorii de macOS, iPhone și iPad să instaleze imediat actualizările respective în această săptămână, care includ remedieri pentru două zile zero sub atac activ. Patch-urile sunt pentru vulnerabilități care permit atacatorilor să execute cod arbitrar și, în cele din urmă, să preia dispozitive.

Patch-uri sunt disponibile pentru dispozitivele afectate care rulează iOS 15.6.1 și macOS Monterey 12.5.1. Patch-urile abordează două defecte, care afectează practic orice dispozitiv Apple care poate rula fie iOS 15, fie versiunea Monterey a sistemului său de operare desktop, conform actualizărilor de securitate lansate de Apple miercuri.

Unul dintre defecte este o eroare a nucleului (CVE-2022-32894), care este prezent atât în ​​iOS, cât și în macOS. Potrivit Apple, este o „problemă de scriere în afara limitelor [care] a fost rezolvată cu verificarea îmbunătățită a limitelor”.

Vulnerabilitatea permite unei aplicații să execute cod arbitrar cu privilegii de kernel, potrivit Apple, care, în mod obișnuit vag, a spus că există un raport că „s-ar putea să fi fost exploatat în mod activ”.

Al doilea defect este identificat ca o eroare WebKit (urmărită ca CVE-2022-32893), care este o problemă de scriere în afara limitelor pe care Apple a rezolvat-o cu verificarea îmbunătățită a limitelor. Defectul permite procesarea conținutului web creat în mod rău intenționat care poate duce la execuția codului și, de asemenea, a fost raportat că se află sub exploatare activă, potrivit Apple. WebKit este motorul de browser care alimentează Safari și toate celelalte browsere terțe care funcționează pe iOS.

Scenariu asemănător lui Pegasus

Descoperirea ambelor defecte, despre care se cunosc puțin mai mult dincolo de dezvăluirea de către Apple, a fost atribuită unui cercetător anonim.

Un expert și-a exprimat îngrijorarea că cele mai recente defecte Apple „ar putea oferi atacatorilor acces complet la dispozitiv”, ar putea crea un asemănător cu Pegasul scenariu asemănător celui în care APT-urile statelor naționale au atacat ținte cu spyware realizat de grupul israelian NSO prin exploatarea unei vulnerabilități iPhone.

„Pentru majoritatea oamenilor: actualizați software-ul până la sfârșitul zilei,” tweeter Rachel Tobac, CEO al SocialProof Security, cu privire la zero-days. „Dacă modelul de amenințare este ridicat (jurnalist, activist, vizat de statele naționale etc.): actualizați acum”, a avertizat Tobac.

Zero-Zile Abundă

Defectele au fost dezvăluite alături de alte știri de la Google săptămâna aceasta peticea a cincea zi zero până acum anul acesta pentru browserul său Chrome, o eroare arbitrară de execuție a codului aflată sub atac activ.

Vestea că încă mai multe vulnerabilități de la furnizorii de top de tehnologie sunt bombardate de actori amenințări demonstrează că, în ciuda eforturilor celor mai bune din partea companiilor de top de tehnologie de a aborda problemele perene de securitate în software-ul lor, aceasta rămâne o luptă dificilă, a remarcat Andrew Whaley, director tehnic senior la Promon, o companie norvegiană de securitate a aplicațiilor.

Defectele din iOS sunt deosebit de îngrijorătoare, având în vedere omniprezența iPhone-urilor și dependența totală a utilizatorilor de dispozitivele mobile pentru viața lor de zi cu zi, a spus el. Cu toate acestea, sarcina nu revine doar furnizorilor să protejeze aceste dispozitive, ci și ca utilizatorii să fie mai conștienți de amenințările existente, a observat Whaley.

„Deși cu toții ne bazăm pe dispozitivele noastre mobile, acestea nu sunt invulnerabile și, în calitate de utilizatori, trebuie să ne menținem garda la fel cum facem cu sistemele de operare desktop”, a spus el într-un e-mail către Threatpost.

În același timp, dezvoltatorii de aplicații pentru iPhone și alte dispozitive mobile ar trebui, de asemenea, să adauge un strat suplimentar de controale de securitate în tehnologia lor, astfel încât să se bazeze mai puțin pe securitatea sistemului de operare pentru protecție, având în vedere defectele care apar frecvent, a observat Whaley.

„Experiența noastră arată că acest lucru nu se întâmplă suficient, lăsând potențial băncile și alți clienți vulnerabili”, a spus el.