ผู้ใช้ iPhone แนะนำให้อัปเดต Patch 2 Zero-Days

Apple เรียกร้องให้ผู้ใช้ macOS, iPhone และ iPad ติดตั้งการอัปเดตตามลำดับในสัปดาห์นี้ ซึ่งรวมถึงการแก้ไขศูนย์สองวันภายใต้การโจมตีที่ใช้งานอยู่ แพตช์มีไว้สำหรับช่องโหว่ที่อนุญาตให้ผู้โจมตีรันโค้ดโดยอำเภอใจและเข้ายึดอุปกรณ์ในที่สุด

มีแพตช์สำหรับอุปกรณ์ที่ได้รับผลกระทบที่ทำงานอยู่ iOS 15.6.1 และ macOS มอนเทอเรย์ 12.5.1. แพตช์แก้ไขข้อบกพร่องสองประการ ซึ่งโดยทั่วไปแล้วจะส่งผลกระทบต่ออุปกรณ์ Apple ใดๆ ที่สามารถเรียกใช้ iOS 15 หรือระบบปฏิบัติการเดสก์ท็อปเวอร์ชัน Monterey ตามการอัปเดตด้านความปลอดภัยที่เผยแพร่โดย Apple Wednesday

หนึ่งในข้อบกพร่องคือข้อบกพร่องของเคอร์เนล (CVE-2022-32894) ซึ่งมีอยู่ใน iOS และ macOS ตามที่ Apple กล่าวว่า "ปัญหาการเขียนนอกขอบเขต [ที่] ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบขอบเขต"

ช่องโหว่ดังกล่าวทำให้แอปพลิเคชันสามารถรันโค้ดโดยอำเภอใจด้วยสิทธิ์ของเคอร์เนล ตามที่ Apple กล่าว ซึ่งตามปกติแล้วจะคลุมเครือ กล่าวว่ามีรายงานว่า "อาจถูกโจมตีอย่างแข็งขัน"

ข้อบกพร่องที่สองถูกระบุว่าเป็นข้อบกพร่องของ WebKit (ติดตามเป็น CVE-2022-32893) ซึ่งเป็นปัญหาการเขียนนอกขอบเขตที่ Apple จัดการด้วยการปรับปรุงการตรวจสอบขอบเขต ช่องโหว่ดังกล่าวทำให้สามารถประมวลผลเนื้อหาเว็บที่ออกแบบมาเพื่อประสงค์ร้าย ซึ่งอาจนำไปสู่การใช้รหัส และยังได้รับรายงานว่าอยู่ภายใต้การใช้ประโยชน์จากช่องโหว่ WebKit คือกลไกของเบราว์เซอร์ที่ขับเคลื่อน Safari และเบราว์เซอร์ของบริษัทอื่นทั้งหมดที่ทำงานบน iOS

สถานการณ์เหมือนเพกาซัส

การค้นพบข้อบกพร่องทั้งสองซึ่งเป็นที่รู้จักมากกว่าการเปิดเผยของ Apple เพียงเล็กน้อยนั้นให้เครดิตกับนักวิจัยที่ไม่ระบุชื่อ

ผู้เชี่ยวชาญคนหนึ่งแสดงความกังวลว่าข้อบกพร่องล่าสุดของ Apple “อาจทำให้ผู้โจมตีสามารถเข้าถึงอุปกรณ์ได้อย่างมีประสิทธิภาพ” พวกเขาอาจสร้าง คล้ายเพกาซัส สถานการณ์คล้ายกับสถานการณ์ที่ APT ของรัฐชาติโจมตีเป้าหมาย ด้วยสปายแวร์ สร้างโดยกลุ่ม NSO ของอิสราเอลโดยใช้ประโยชน์จากช่องโหว่ของ iPhone

“สำหรับคนส่วนใหญ่: อัปเดตซอฟต์แวร์ก่อนสิ้นสุดวัน” ทวีต Rachel Tobac ซีอีโอของ SocialProof Security เกี่ยวกับซีโร่เดย์ “หากรูปแบบการคุกคามถูกยกระดับ (นักข่าว นักเคลื่อนไหว เป้าหมายโดยรัฐชาติ ฯลฯ): ให้อัปเดตทันที” Tobac เตือน

Zero-Days มากมาย

ข้อบกพร่องถูกเปิดเผยพร้อมกับข่าวอื่น ๆ จาก Google ในสัปดาห์นี้ว่า กำลังปะ Zero-day ครั้งที่ XNUMX ในปีนี้สำหรับเบราว์เซอร์ Chrome ซึ่งเป็นบั๊กในการเรียกใช้โค้ดโดยอำเภอใจภายใต้การโจมตีที่ใช้งานอยู่

ข่าวของช่องโหว่เพิ่มเติมจากผู้จำหน่ายเทคโนโลยีชั้นนำที่ถูกคุกคามโดยผู้คุกคามแสดงให้เห็นว่าแม้จะมีความพยายามอย่างเต็มที่จากบริษัทเทคโนโลยีระดับบนสุดในการแก้ไขปัญหาด้านความปลอดภัยที่ยืนต้นในซอฟต์แวร์ของพวกเขา มันยังคงเป็นการต่อสู้ที่ยากลำบาก Andrew Whaley ผู้อำนวยการด้านเทคนิคอาวุโสของ Promonบริษัทรักษาความปลอดภัยแอปของนอร์เวย์

ข้อบกพร่องใน iOS เป็นเรื่องที่น่ากังวลเป็นพิเศษ เนื่องจาก iPhones แพร่หลายและผู้ใช้ใช้อุปกรณ์พกพาในชีวิตประจำวันอย่างเต็มที่ เขากล่าว อย่างไรก็ตาม ความรับผิดชอบไม่ได้อยู่ที่ผู้ขายปกป้องอุปกรณ์เหล่านี้เท่านั้น แต่ยังให้ผู้ใช้ตระหนักถึงภัยคุกคามที่มีอยู่มากขึ้น Whaley ตั้งข้อสังเกต

“ในขณะที่เราทุกคนต่างพึ่งพาอุปกรณ์มือถือของเรา แต่ก็ไม่ใช่สิ่งที่คงกระพัน และในฐานะผู้ใช้ เราต้องรักษายามของเรา เช่นเดียวกับที่เราทำบนระบบปฏิบัติการเดสก์ท็อป” เขากล่าวในอีเมลถึง Threatpost

ในเวลาเดียวกัน ผู้พัฒนาแอพสำหรับ iPhone และอุปกรณ์มือถืออื่นๆ ควรเพิ่มการควบคุมความปลอดภัยอีกชั้นหนึ่งในเทคโนโลยีของพวกเขา เพื่อไม่ให้พึ่งพาความปลอดภัยของระบบปฏิบัติการเพื่อการป้องกัน เนื่องจากมีข้อบกพร่องที่มักเกิดขึ้น Whaley ตั้งข้อสังเกต

“ประสบการณ์ของเราแสดงให้เห็นว่าสิ่งนี้ยังเกิดขึ้นไม่มากพอ อาจทำให้ธนาคารและลูกค้ารายอื่นๆ ตกอยู่ในความเสี่ยง” เขากล่าว