Apple har for nylig udgivet nye versioner af sine operativsystemer – iOS 15.3 og macOS Monterey 12.2, som indeholdt en række rettelser, inklusive to nul-dage.
CVE-2022-22587
Den første nul-dag er relateret til hukommelseskorruption, og kunne tillade en ondsindet app at udføre vilkårlig kode med kernerettigheder. Sårbarheden findes i IOMobileFrameBuffer, som er en kerneudvidelse, der gør det muligt for udviklere at kontrollere, hvordan en enheds hukommelse håndterer skærmvisningen, også kendt som en framebuffer.
CVE-2022-22587-fejlen påvirker iOS, iPadOS og macOS Monterey, med rettelsen til det inklusive en forbedret inputvalidering. Det er sandsynligt, at fejlen blev udnyttet i naturen. Bemærk også, at opdateringen er tilgængelig til iPhone 6s og nyere, alle modeller af iPad Pro, iPad Air 2 og senere, iPad 5. generation og nyere, iPad mini 4 og senere, og den syvende generation af iPod touch.
CVE-2022-22594
Den anden nul-dag fastsat i denne måned er CVE-2022-22594, en WebKit-informationssårbarhed i Safari. Problemet påvirker Safari til macOS, iOS og iPadOS. Det blev afsløret af FingerprintJS-forskere, og det kunne gøre det muligt for et snoopende websted at opdage oplysninger om andre faner, som brugeren muligvis har åbnet.
Sårbarheden kan beskrives som en cross-origin policy overtrædelse i IndexDB API, som er en JavaScript API, som browsere bruger til at administrere en NoSQL-database med JSON-objekter. Problemet blev løst med inputvalidering.
Patches til sårbarhederne er tilgængelige i macOS Monterey 12.2 og iOS/iPadOS 15.3 opdateringer. iOS 15.3 har også rettelser til problemer relateret til at opnå root-privilegier, vilkårlig kodeudførelse med kernerettigheder, og at kunne hente brugerfiler via iCloud.
Det er bemærkelsesværdigt, at angriberne brugte en anden macOS WebKit-fejl, CVE-2021-1801, at gennemføre malvertising-kampagner sidste år. Fejlen påvirkede iframe-sandboxing-politikken ved at bruge ondsindet udformet webindhold, som blev rettet med forbedret håndhævelse af iframe-sandkasse. Sårbarheden tillod trusselsaktører at omgå iframe-sandboxing-politikken, WebKit-browsermotoren, der driver Safari og Google Chrome.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: