Apple'dan acil kod yürütme yaması - ancak 0 günlük değil

En son 62 yamayı (veya nasıl saydığınıza bağlı olarak 64) gözden geçirdikten sonra nefesimizi tutmayı bırakmamıştık. Microsoft tarafından düşürüldü Yama Salı günü…

…Apple'ın en son güvenlik bültenlerinin gelen kutumuza ulaşmasından daha fazla.

Bu sefer bildirilen yalnızca iki düzeltme vardı: en son iOS veya iPadOS çalıştıran mobil cihazlar için ve daha çok Ventura olarak bilinen en son macOS enkarnasyonunu çalıştıran sürüm 13'ü çalıştıran Mac'ler için.

Zaten çok kısa olan güvenlik raporlarını özetlemek gerekirse:

• HT21304: Ventura 13.0'dan güncellendi 13.0.1.
• HT21305: iOS ve iPadOS 16.1'den güncelleniyor 16.1.1

İki güvenlik bülteni, Google'ın Project Zero ekibi tarafından bir kitaplıkta bulunan, tamamen aynı iki kusuru listeler. libxml2ve resmi olarak belirlenmiş CVE-2022-40303 ve CVE-2022-40304.

Her iki hata da şu notlarla yazılmıştır: "uzak bir kullanıcı, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir".

Her iki hata da Apple'ın "bu sorunun aktif olarak istismar edilmiş olabileceğine dair bir raporun farkında olduğu" satırları boyunca Apple'ın tipik sıfır gün ifadesiyle bildirilmemiştir, bu nedenle bu hataların en azından Apple'ın ekosisteminde sıfır gün olduğuna dair bir öneri yoktur. .

Ama sadece iki hata düzeltildi, sadece iki hafta sonra Apple'ın son yama dilimi, belki de Apple bu deliklerin istismar için olgun olduğunu düşündü ve bu nedenle, bu deliklerin aynı yazılım bileşeninde ortaya çıktığı göz önüne alındığında, esasen tek hata düzeltme ekini dışarı attı mı?

Ayrıca, XML verilerinin ayrıştırılmasının hem işletim sisteminin kendisinde hem de çok sayıda uygulamada yaygın olarak gerçekleştirilen bir işlev olduğu göz önüne alındığında; XML verilerinin genellikle web siteleri gibi güvenilmeyen dış kaynaklardan geldiği göz önüne alındığında; ve genellikle kötü amaçlı yazılım veya casus yazılımları uzaktan yerleştirmek için kullanılan hataların resmi olarak uzaktan kod yürütme için olgun olarak belirlendiği göz önüne alındığında…

…belki Apple, bu hataların uzun süre yamasız bırakılmayacak kadar tehlikeli olduğunu düşündü?

Daha da çarpıcı bir şekilde, belki Apple, Google'ın bu hataları bulma biçiminin, bir başkasının, belki de gerçekten istemeden de olsa, kolayca rastlayabileceği ve onları kötü amaçla kullanmaya başlayabileceği kadar açık olduğu sonucuna varmıştır?

Ya da belki de hatalar Google tarafından, şirket dışından birinin nereye bakmaya başlayacağını önerdiği için ortaya çıkarılmış, böylece güvenlik açıklarının, henüz nasıl istismar edileceğini henüz anlamamış olsalar bile potansiyel saldırganlar tarafından zaten bilindiğini ima etmiş olabilir mi?

(Teknik olarak, siber güvenlik bağlarından koparılan hata avı ipuçları nedeniyle keşfettiğiniz, henüz kullanılmamış bir güvenlik açığı, henüz kimse deliği nasıl kötüye kullanacağını anlamadıysa, aslında sıfır gün değildir.)

Ne yapalım?

Apple'ın bu mini güncellemeyi son yamalarından sonra bu kadar çabuk yayınlamasının nedeni ne olursa olsun, neden bekleyelim?

iPhone'umuzda zaten bir güncelleme yapmaya zorladık; indirme işlemi küçüktü ve güncelleme hızlı ve görünüşte sorunsuz bir şekilde gerçekleşti.

kullanım Ayarlar > genel> iPhone'larda ve iPad'lerde ve Elma menüsü > Bu Mac hakkında > Yazılım güncellemesi… Mac'lerde.

Apple bu yamaları diğer ürünlerinden herhangi biriyle ilgili güncellemelerle takip ederse, size haber vereceğiz.