Bản vá thực thi mã khẩn cấp từ Apple - nhưng không phải là 0 ngày

Ngay sau đó, chúng tôi đã dừng lại để thở sau khi xem lại 62 bản vá mới nhất (hoặc 64, tùy thuộc vào cách bạn đếm) bị Microsoft bỏ rơi trên Bản vá Thứ Ba…

…hơn bản tin bảo mật mới nhất của Apple đã đến hộp thư đến của chúng tôi.

Lần này chỉ có hai bản sửa lỗi được báo cáo: dành cho thiết bị di động chạy iOS hoặc iPadOS mới nhất và dành cho máy Mac chạy phiên bản macOS mới nhất, phiên bản 13, hay còn gọi là Ventura.

Để tóm tắt những gì đã là báo cáo bảo mật siêu ngắn:

• HT21304: Ventura được cập nhật từ 13.0 lên 13.0.1.
• HT21305: iOS và iPadOS được cập nhật từ 16.1 lên 16.1.1

Hai bản tin bảo mật liệt kê chính xác hai lỗ hổng giống nhau, được tìm thấy bởi nhóm Project Zero của Google, trong một thư viện có tên libxml2, và chính thức được chỉ định CVE-2022-40303 và CVE-2022-40304.

Cả hai lỗi đã được viết lên với ghi chú rằng "người dùng từ xa có thể gây ra việc chấm dứt ứng dụng không mong muốn hoặc thực thi mã tùy ý".

Không có lỗi nào được báo cáo với từ ngữ zero-day điển hình của Apple dọc theo dòng mà công ty “biết về một báo cáo rằng vấn đề này có thể đã bị khai thác tích cực”, vì vậy không có gợi ý nào cho rằng những lỗi này là zero-day, ít nhất là bên trong hệ sinh thái của Apple .

Nhưng chỉ với hai lỗi được sửa, chỉ hai tuần sau Trong đợt vá lỗi cuối cùng của Apple, có lẽ Apple nghĩ rằng những lỗ hổng này đã chín muồi để khai thác và do đó đã đẩy ra bản vá một lỗi thực chất là gì, vì những lỗ hổng này xuất hiện trong cùng một thành phần phần mềm?

Ngoài ra, do phân tích cú pháp dữ liệu XML là một chức năng được thực hiện rộng rãi cả trong chính hệ điều hành và trong nhiều ứng dụng; do dữ liệu XML thường đến từ các nguồn bên ngoài không đáng tin cậy, chẳng hạn như các trang web; và do các lỗi được chỉ định chính thức là chín muồi để thực thi mã từ xa, thường được sử dụng để cấy phần mềm độc hại hoặc phần mềm gián điệp từ xa…

…có lẽ Apple cảm thấy rằng những lỗi này nói chung là quá nguy hiểm để không được vá trong thời gian dài?

Đáng chú ý hơn, có lẽ Apple đã kết luận rằng cách Google tìm thấy những lỗi này đủ rõ ràng để người khác có thể dễ dàng bắt gặp chúng, có lẽ thậm chí không thực sự cố ý và bắt đầu sử dụng chúng cho mục đích xấu?

Hoặc có lẽ Google đã phát hiện ra các lỗi này vì ai đó từ bên ngoài công ty đã đề xuất nơi bắt đầu tìm kiếm, do đó ngụ ý rằng những kẻ tấn công tiềm năng đã biết các lỗ hổng này mặc dù họ vẫn chưa tìm ra cách khai thác chúng?

(Về mặt kỹ thuật, một lỗ hổng chưa được khai thác mà bạn phát hiện ra do các gợi ý săn lỗi lấy từ các trang tin tức về an ninh mạng không thực sự là một lỗ hổng nếu chưa có ai tìm ra cách lạm dụng lỗ hổng này.)

Phải làm gì?

Dù lý do của Apple là gì để vội vàng tung ra bản cập nhật nhỏ này sau các bản vá cuối cùng, tại sao phải chờ đợi?

Chúng tôi đã buộc cập nhật trên iPhone của mình; quá trình tải xuống nhỏ và quá trình cập nhật diễn ra nhanh chóng và rõ ràng là suôn sẻ.

Sử dụng Cài đặt > Tổng Quát> cập nhật phần mềm trên iPhone và iPad, và Trình đơn Apple > Giới thiệu về Mac này > Cập nhật phần mềm… trên máy Mac.

Nếu Apple theo dõi các bản vá này với các bản cập nhật liên quan cho bất kỳ sản phẩm nào khác của mình, chúng tôi sẽ cho bạn biết.