ایپل سے ایمرجنسی کوڈ پر عمل درآمد کا پیچ – لیکن 0 دن کا نہیں۔

تازہ ترین 62 پیچ (یا 64، اس بات پر منحصر ہے کہ آپ کیسے گنتے ہیں) کا جائزہ لینے کے بعد ہم اپنی سانسیں پکڑنے کے لیے رک گئے تھے۔ مائیکروسافٹ کی طرف سے گرا دیا منگل کو پیچ پر…

ایپل کے تازہ ترین سیکیورٹی بلیٹنز ہمارے ان باکس میں اترے۔

اس بار صرف دو رپورٹ شدہ اصلاحات تھیں: جدید ترین iOS یا iPadOS چلانے والے موبائل آلات کے لیے، اور جدید ترین macOS اوتار چلانے والے Macs کے لیے، ورژن 13، جو Ventura کے نام سے مشہور ہے۔

خلاصہ کرنے کے لیے جو پہلے سے ہی انتہائی مختصر سیکیورٹی رپورٹس ہیں:

• HT21304: وینٹورا کو 13.0 سے اپ ڈیٹ کیا جاتا ہے۔ 13.0.1.
• HT21305: iOS اور iPadOS کو 16.1 سے اپ ڈیٹ کیا جاتا ہے۔ 16.1.1

دونوں سیکیورٹی بلیٹنز میں بالکل وہی دو خامیاں درج ہیں، جو گوگل کی پروجیکٹ زیرو ٹیم نے لائبریری میں پائی ہیں۔ libxml2، اور سرکاری طور پر نامزد کیا گیا ہے۔ CVE-2022-40303 اور CVE-2022-40304.

دونوں کیڑے نوٹوں کے ساتھ لکھے گئے تھے۔ "ایک دور دراز کا صارف غیر متوقع ایپ کو ختم کرنے یا من مانی کوڈ پر عمل درآمد کرنے کے قابل ہو سکتا ہے".

ایپل کے عام صفر دن کے الفاظ کے ساتھ کسی بھی بگ کی اطلاع ان خطوط کے ساتھ نہیں دی گئی ہے کہ کمپنی "اس رپورٹ سے آگاہ ہے کہ اس مسئلے کا فعال طور پر استحصال کیا گیا ہے"، لہذا ایسی کوئی تجویز نہیں ہے کہ یہ کیڑے صفر دن کے ہوں، کم از کم ایپل کے ماحولیاتی نظام کے اندر۔ .

لیکن صرف دو کیڑے طے کرنے کے ساتھ، بس دو ہفتے بعد ایپل کے پیچ کی آخری قسط، شاید ایپل نے سوچا کہ یہ سوراخ استحصال کے لیے پکے ہیں اور اس طرح یہ نکال دیا کہ بنیادی طور پر ون بگ پیچ کیا ہے، یہ دیکھتے ہوئے کہ یہ سوراخ ایک ہی سافٹ ویئر کے جزو میں ظاہر ہوئے؟

نیز، یہ دیکھتے ہوئے کہ XML ڈیٹا کو پارس کرنا ایک ایسا فنکشن ہے جو خود آپریٹنگ سسٹم اور متعدد ایپس میں وسیع پیمانے پر انجام دیا جاتا ہے۔ یہ دیکھتے ہوئے کہ XML ڈیٹا اکثر غیر بھروسہ مند بیرونی ذرائع جیسے ویب سائٹس سے آتا ہے۔ اور بگز کو باضابطہ طور پر ریموٹ کوڈ پر عمل درآمد کے لیے موزوں قرار دیا گیا ہے، عام طور پر میلویئر یا اسپائی ویئر کو دور سے لگانے کے لیے استعمال کیا جاتا ہے…

…شاید ایپل نے محسوس کیا کہ یہ کیڑے اتنے خطرناک ہیں کہ وہ زیادہ دیر تک بغیر پیچ کے چھوڑ دیں؟

زیادہ ڈرامائی طور پر، شاید ایپل نے یہ نتیجہ اخذ کیا کہ جس طرح سے گوگل نے ان کیڑوں کو تلاش کیا وہ کافی واضح تھا کہ کوئی اور ان پر آسانی سے ٹھوکر کھا سکتا ہے، شاید اس کا حقیقی معنی کے بغیر، اور انہیں برا استعمال کرنا شروع کردے۔

یا شاید گوگل کے ذریعہ کیڑے کا پردہ فاش کیا گیا تھا کیونکہ کمپنی کے باہر سے کسی نے مشورہ دیا تھا کہ کہاں سے دیکھنا شروع کیا جائے، اس طرح یہ ظاہر ہوتا ہے کہ ممکنہ حملہ آوروں کو کمزوریاں پہلے سے ہی معلوم تھیں حالانکہ انہیں ابھی تک یہ نہیں معلوم تھا کہ ان کا استحصال کیسے کیا جائے؟

(تکنیکی طور پر، سائبرسیکیوریٹی گریپ وائن سے نکالے گئے بگ ہنٹنگ اشارے کی وجہ سے آپ کو دریافت نہ ہونے والی کمزوری درحقیقت صفر دن نہیں ہے اگر کسی نے ابھی تک اس سوراخ کو غلط استعمال کرنے کا طریقہ نہیں سمجھا ہے۔)

کیا کیا جائے؟

اس منی اپ ڈیٹ کو اس کے آخری پیچ کے بعد اتنی جلدی جلدی نکالنے کی ایپل کی وجہ جو بھی ہو، انتظار کیوں کریں؟

ہم نے پہلے ہی اپنے آئی فون پر اپ ڈیٹ کرنے پر مجبور کیا ہے۔ ڈاؤن لوڈ چھوٹا تھا اور اپ ڈیٹ تیزی سے اور بظاہر آسانی سے ہوا۔

استعمال ترتیبات > جنرل> سافٹ ویئر اپ ڈیٹ iPhones اور iPads پر، اور ایپل مینو > اس میک کے بارے میں > سافٹ ویئر اپ ڈیٹ… میکس پر

اگر ایپل اپنی کسی بھی دوسری مصنوعات سے متعلقہ اپ ڈیٹس کے ساتھ ان پیچ کی پیروی کرتا ہے، تو ہم آپ کو مطلع کریں گے۔