Mystery iPhone-uppdateringskorrigeringar mot iOS 16 e-postkraschattack

Vi använder Apples Mail-app hela dagen, varje dag för att hantera arbete och personlig e-post, inklusive ett rikligt utbud av mycket välkomna Naked Security-kommentarer, frågor, artikelidéer, stavfelsrapporter, podcastförslag och mycket mer.

(Fortsätt med dem – vi får mycket mer positiva och användbara meddelanden om att vi får troll, och vi älskar att hålla det så: tips@sophos.com är hur du når oss.)

Vi har alltid tyckt att Mail-appen är en mycket användbar arbetshäst som passar oss bra: den är inte speciellt snygg; den är inte full av funktioner som vi aldrig använder; det är visuellt enkelt; och (hittills i alla fall) har den varit envist pålitlig.

Men det måste ha funnits ett allvarligt problem i den senaste versionen av appen, eftersom Apple just tryckt ut en en-bugg säkerhetskorrigering för iOS 16, som tar versionsnumret till iOS 16.0.3, och åtgärda en sårbarhet som är specifik för Mail:

En och endast en bugg listas:

Effekt: Bearbetning av ett uppsåtligt e-postmeddelande kan leda till ett överbelastningsbesked Beskrivning: Ett problem med indatavalidering åtgärdades med förbättrad indatavalidering. CVE-2022-22658

Bulletiner för "en bugg".

Enligt vår erfarenhet är säkerhetsbulletiner från Apple, eller åtminstone N-bug-bulletiner för litet N, undantaget snarare än regeln, och de verkar ofta anlända när det finns en tydlig och aktuell fara som en jailbreakbar nolla -dagsexploatering eller exploateringssekvens.

Den kanske mest kända senaste nöduppdateringen av detta slag var en dubbel noll-dagars fix i augusti 2022 som patchade mot en attack med två fat bestående av ett fjärrkodexekveringshål i WebKit (en väg in) följt av ett lokalt kodexekveringshål i själva kärnan (ett sätt att ta över helt):

Dessa buggar listades officiellt inte bara som kända för utomstående, utan också som under aktiva missbruk, förmodligen för att ha implanterat någon form av skadlig programvara som kunde hålla koll på allt du gjorde, som att snoka på all din data, ta hemliga skärmdumpar, lyssna på till telefonsamtal och ta bilder med din kamera.

Ungefär två veckor senare halkade Apple till och med ut en oväntad uppdatering för iOS 12, en gammal version som de flesta av oss antog var faktiskt "abandonware", efter att ha varit påfallande frånvarande från Apples officiella säkerhetsuppdateringar i nästan ett år innan dess:

(Tydligen påverkades iOS 12 av WebKit-felet, men inte av det efterföljande kärnhålet som gjorde attackkedjan mycket värre på nyare Apple-produkter.)

Den här gången nämns det dock inget om att buggen patchades i uppdateringen till iOS 16.0.3 rapporterades av någon utanför Apple, annars skulle vi förvänta oss att se hittaren som nämns i bulletinen, även om det bara är som "en anonym forskare".

Det finns heller inget som tyder på att buggen redan kan vara känd för angripare och därför redan används för bus eller värre...

…men Apple verkar ändå tycka att det är en sårbarhet värd att publicera en säkerhetsbulletin om.

Du har post, fick post, fick post...

Så kallade förnekande av tjänsten (DoS) eller krascha-mig-efter-vilja buggar betraktas ofta som lättviktarna i sårbarhetsscenen, eftersom de i allmänhet inte tillhandahåller en väg för angripare att hämta data som de inte ska se, eller skaffa åtkomstbehörighet de inte borde ha, eller att köra skadlig kod efter eget val.

Men alla DoS-buggar kan snabbt förvandlas till ett allvarligt problem, särskilt om det fortsätter att hända om och om igen när det utlöses för första gången.

Den situationen kan lätt uppstå i meddelandeappar om appen bara kraschar genom att få åtkomst till ett häftigt meddelande, eftersom du vanligtvis behöver använda appen för att radera det besvärliga meddelandet...

...och om kraschen inträffar tillräckligt snabbt får du aldrig tillräckligt med tid att klicka på papperskorgen eller att svepa-radera det stötande meddelandet innan appen kraschar igen, och igen och igen.

Många berättelser har dykt upp under åren om iPhone "text-of-death"-scenarier av detta slag, inklusive:

Naturligtvis det andra problemet med vad vi skämtsamt refererar till som CRASH: GOTO CRASH buggar i meddelandeappar är att andra får välja när de ska skicka meddelanden till dig och vad de ska lägga i meddelandet...

…och även om du använder någon form av automatisk filtreringsregel i appen för att blockera meddelanden från okända eller opålitliga avsändare, kommer appen vanligtvis att behöva bearbeta dina meddelanden för att bestämma vilka som ska bli av med.

(Observera att den här felrapporten uttryckligen hänvisar till en krasch på grund av "behandlar ett uppsåtligt e-postmeddelande".)

Därför kan appen krascha ändå, och kan fortsätta krascha varje gång den startar om eftersom den försöker hantera de meddelanden den inte lyckades hantera förra gången.

Vad göra?

Oavsett om du har aktiverat automatiska uppdateringar eller inte, gå till Inställningar > Allmänt > Programuppdatering för att leta efter (och, om det behövs, installera) korrigeringen.

Den version du vill se efter uppdateringen är iOS 16.0.3 eller senare.

Med tanke på att Apple har publicerat en säkerhetskorrigering för denna enda DoS-bug, gissar vi att något störande kan stå på spel om en angripare skulle ta reda på detta.

Till exempel kan du sluta med en knappt användbar enhet som du skulle behöva torka av helt och återuppta för att återställa den till sund funktion...

---

LÄS MER OM SÅRBARHETER

---