Apple danas je objavio važno sigurnosno ažuriranje za tri svoja uređaja – iPad, iPhone i Mac kako bi zakrpao dvije kritične zero-day ranjivosti na njima.
Dok je jedan zaražen u jezgri operativnog sustava, drugi je pronađen AppleWebKit – Safari ga koristi kao motor preglednika. Budući da su oba ova alata ključna za Appleuređaja i rade s punim privilegijama, oni predstavljaju veću štetu ako nisu zakrpani. Apple je također primijetio aktivno istraživanje ovih grešaka čak i prije nego što je zakrpa objavljena.
Sigurnosne ranjivosti u Apple Uređaji
Zero-day bugovi su nešto što OEM nije priznao ili nije objavio zakrpu prije nego što su ih hakeri uočili i počeli iskorištavati. Nazivaju se ozbiljnim problemima jer ponekad daju pune privilegije napadačima, a žrtve ne mogu učiniti ništa osim gledati dok ne stigne službena zakrpa od OEM-a.
Jedan takav slučaj pogodio je Apple ekosustav, gdje su u iPhoneima, iPadima i Macovima uočene dvije ranjivosti nultog dana – koje napadačima omogućuju preuzimanje ciljanog sustava i rad s punim privilegijama. Prvi se prati kao CVE-2022-32894 i ranjivost je pisanja izvan granica OS kernela.
Dok se drugi prati kao CVE-2022-32893 i ranjivost je pisanja izvan granica u WebKitu – motoru web preglednika koji koristi AppleSafari i druge aplikacije za pristup webu. To bi potencijalno moglo omogućiti napadaču da izvede daljinsko izvršavanje koda i natjera metu da posjeti zlonamjerno izrađenu web stranicu.
A budući da napadačima daju najvišu razinu privilegija, dopustili bi im da rade bilo što s tim. Ispod su pogođeni Apple uređaji za ove dvije greške;
- Mac računala s macOS Monterey
- iPhone 6s i noviji
- iPad Pro (svi modeli), iPad Air 2 i kasnije, iPad 5. generacije i kasnije, iPad mini 4 i kasnije, i iPod touch (7. generacija).
Osiguravajući ih, Apple objavio macOS Monterey 12.5.1iOS 15.6.1i iPadOS 15.6.1 za rješavanje dvije ranjivosti nultog dana u ovim uređajima. Iako Apple otkrio aktivno iskorištavanje ova dva buga, nije podijelio više pojedinosti o tom pitanju.
