Apple rapídna bezpečnostná odpoveď na nové zero-day zraniteľnosti
Bezpečnostní výskumníci objavili tri zero-day zraniteľnosti zariadení spoločnosti Apple, ktoré útočníci používajú na sledovanie a zbieranie citlivých údajov zo zariadení iPhone, Mac a iPad. Spoločnosť Apple preto vydáva novú aktualizáciu zabezpečenia svojich zariadení formou nedávno spustenej služby rapídna bezpečnostná odpoveď (RSR).
Zraniteľné systémy:
Zraniteľnosť ovplyvňuje celý rad produktov, vrátane mnohých, ktoré spoločnosť Apple, označuje ako produkty na konci svojej technickej životnosti, menovite sú to tieto zariadenia.
iPhone 6s ( všetky modely ), iPhone 7 ( všetky modely ), iPhone SE ( 1. generácia ), iPhone 8 a novšie
iPod touch ( 7. generácia ),
iPad Pro ( všetky modely ), iPad Air 3. generácia a novšia, iPad 5. generácia a novšia, iPad Air 2, iPad mini ( 4. generácia ), iPad mini 5. generácia a novšie,
Mac počítače s operačným systémom MacOS Big Sur, Monterey a Ventura
Apple Watch Series 4 a novšie
Apple TV 4K ( všetky modely ) a Apple TV HD
Opis činnosti:
CVE-2023-32409
Prvá zraniteľnosť v renderovacom jadre WebKit, umožňuje potenciálnemu útočníkovi sa dostať z karantény (sandbox) takzvaného Web Content, a inštalovať škodlivý kód ako napríklad spyware.
CVE-2023-28204
Táto zraniteľnosť umožňuje čítanie mimo hraníc a mohla by umožniť vzdialenému útočníkovi získať citlivé informácie.
CVE-2023-32373
Ďalšou zraniteľnosťou vo WebKit-e môže útočník vzdialene vykonať kód pri spracovaní dát, alebo návšteve špeciálne vytvoreného škodlivého webu. Jedná sa o chybu umožňujúcu použitie dealokovanej časti pamäte.
Spoločnosť Apple nezverejnila žiadne ďalšie technické podrobnosti k bezpečnostným problémom a objaveným hrozbám. Prvú spomínanú zraniteľnosť CVE-2023-32409 objavili Clément Lecigne zo skupiny Google pre analýzu hrozieb a Donncha Ó Cearbhaill z bezpečnostného laboratória Amnesty International. Povaha chýb naznačuje, že už mohli byť zneužité napríklad na šírenie spywaru štátom sponzorovanými útočníkmi, ktorí takto sledujú rôzne ciele ako disidentov, aktivistov za ľudské práva a podobne.
Závažnosť zraniteľnosti: Kritická
Možné škody:
- Vykonávanie kódu
- Únik a zneužitie citlivých dát
- Eskalácia oprávnení
Odporúčania:
Spoločnosť Apple od mája tohto roku spúšťa službu rýchlej bezpečnostnej reakcie (v skratke RSR), ktorá ako názov naznačuje, je malá záplata, ktorá rýchlejšie opravuje aktívne zraniteľnosti zneužívané pri útokoch.
Odporúčame bezodkladnú aktualizáciu systémov macOS Ventura na verziu 13.4, iOS a iPadOS na verziu 15.7.6 a 16.5, tvOS na 16.5, watchOS na 9.5 a prehliadača Safari na verziu 16.5.
Ak zariadenie pripojené na internet samo neupozorní na dostupnú neodkladnú rýchlu bezpečnostnú záplatu, odporúčame skontrolovať jej dostupnosť nasledovne:
Na zariadeniach iPhone alebo iPad: Prejdite do Nastavenia > Všeobecné > Aktualizácia softvéru > Automatické aktualizácie, potom sa uistite, že sú zapnuté > Bezpečnostné odpovede a systémové súbory.
Pre počítače s MacOSx: Vyberte ponuku Apple > Nastavenia systému. Kliknite na položku Všeobecné na bočnom paneli a potom na položku > Aktualizácia softvéru, ktorá je vpravo. Kliknite na tlačidlo Zobraziť podrobnosti vedľa automatických aktualizácií a potom sa uistite, že je zapnutá možnosť Inštalovať bezpečnostné odpovede a systémové súbory.
Odkazy:
https://thehackernews.com/2023/05/webkit-under-attack-apple-issues.html