اپل به‌تازگی یک به‌روزرسانی اضطراری را برای دو باگ صفر روز منتشر کرد که ظاهراً وجود دارند فعالانه مورد بهره برداری قرار می گیرد.

یک سوراخ اجرای کد از راه دور (RCE) دوبله شده وجود دارد CVE-20220-32893 در نرم افزار رندر HTML اپل (WebKit)، که با استفاده از آن یک صفحه وب به دام افتاده می تواند آیفون، آی پد و مک را فریب دهد تا کد نرم افزاری غیرمجاز و نامعتبر را اجرا کند.

به عبارت ساده تر، یک مجرم سایبری می تواند بدافزار را در دستگاه شما کاشت کند، حتی اگر تنها کاری که شما انجام داده اید مشاهده یک صفحه وب بی گناه باشد.

به یاد داشته باشید که WebKit بخشی از موتور مرورگر اپل است که در زیر تمام نرم افزارهای رندر وب در دستگاه های تلفن همراه اپل قرار دارد.

Mac می‌تواند نسخه‌های Chrome، Chromium، Edge، Firefox و سایر مرورگرهای «غیر سافاری» را با موتورهای جایگزین HTML و JavaScript اجرا کند (برای مثال، Chromium از چشمک بزن و V8; فایرفاکس بر اساس مارمولک خانگی و کرگدن).

اما در iOS و iPadOS، قوانین اپ استور اپل اصرار دارد که هر نرم افزاری که هر نوع قابلیت مرور وب را ارائه می دهد باید بر اساس WebKit باشد، از جمله مرورگرهایی مانند کروم، فایرفاکس و اج که به کدهای مرور اپل در هیچ پلاک دیگری که ممکن است از آنها استفاده کنید، متکی نیستند.

علاوه بر این، هر برنامه Mac و iDevice با پنجره های بازشو مانند کمک or درباره ما صفحه نمایش ها از HTML به عنوان "زبان نمایش" خود استفاده می کنند - یک راحتی برنامه نویسی که به طور قابل درک بین توسعه دهندگان محبوب است.

برنامه هایی که این کار را انجام می دهند تقریباً مطمئناً از اپل استفاده می کنند وب ویو توابع سیستم، و WebView مبتنی است مستقیماً در بالای WebKit، بنابراین تحت تأثیر هر گونه آسیب پذیری در WebKit قرار می گیرد.

La CVE-2022-32893 بنابراین، این آسیب‌پذیری به‌طور بالقوه بر برنامه‌ها و مؤلفه‌های سیستم بسیار بیشتری نسبت به مرورگر سافاری خود اپل تأثیر می‌گذارد، بنابراین دوری از سافاری را نمی‌توان راه‌حلی در نظر گرفت، حتی در مک‌هایی که مرورگرهای غیر WebKit مجاز هستند.

سپس یک روز صفر دوم وجود دارد

یک سوراخ اجرای کد هسته نیز وجود دارد که دوبله شده است CVE-2022-32894که توسط آن مهاجمی که قبلاً با سوء استفاده از باگ WebKit فوق الذکر، جایگاهی اساسی در دستگاه Apple شما به دست آورده است…

... می تواند از کنترل تنها یک برنامه در دستگاه شما به تصاحب هسته سیستم عامل خود بپرد، در نتیجه نوعی "ابر قدرت های مدیریتی" را که معمولاً برای خود اپل محفوظ است به دست آورید.

این تقریباً به طور قطع بدان معنی است که مهاجم می تواند:

• جاسوسی از همه برنامه‌هایی که در حال حاضر در حال اجرا هستند
• برنامه های اضافی را بدون مراجعه به اپ استور دانلود و شروع کنید
• تقریباً به تمام داده های دستگاه دسترسی داشته باشید
• تنظیمات امنیتی سیستم را تغییر دهید
• موقعیت مکانی خود را بازیابی کنید
• تصاویر را بگیرید
• از دوربین های موجود در دستگاه استفاده کنید
• میکروفون را فعال کنید
• کپی پیامک
• مرور خود را ردیابی کنید…

…و خیلی بیشتر.

اپل نگفته است که این اشکالات چگونه پیدا شده اند (به غیر از اعتبار "یک محقق ناشناس") نگفته است که در کجای دنیا مورد سوء استفاده قرار گرفته اند و نگفته است که چه کسی یا برای چه هدفی از آنها استفاده می کند.

با این حال، به زبان ساده، یک WebKit RCE در حال کار و به دنبال آن یک اکسپلویت هسته فعال، همانطور که در اینجا مشاهده می شود، معمولاً تمام عملکردهای مورد نیاز برای جیلبریک دستگاه را نصب کنید (بنابراین عمداً تقریباً تمام محدودیت های امنیتی اعمال شده توسط اپل را دور می زنند)، یا به نصب نرم افزارهای جاسوسی پس زمینه و شما را تحت نظارت همه جانبه قرار دهد.

چه کاری انجام دهید؟

یکباره پچ کن!

در زمان نگارش این مقاله، اپل توصیه هایی را برای آن منتشر کرده است آیپد او اس 15 و آی او اس 15، که هر دو شماره نسخه به روز شده آن را دریافت می کنند 15.6.1، و برای macOS Monterey 12، که شماره نسخه به روز شده را دریافت می کند 12.5.2.

• در iPhone یا iPad خود: تنظیمات > سوالات عمومی > به روز رسانی نرم افزار
• در مک شما: منو اپل > درباره این مک > به روز رسانی نرم افزار…

همچنین یک به روز رسانی وجود دارد که طول می کشد watchOS به نسخه 8.7.1، اما این به روز رسانی هیچ شماره CVE را لیست نمی کند و به خودی خود یک توصیه امنیتی ندارد.

هیچ صحبتی در مورد اینکه آیا نسخه های قدیمی پشتیبانی شده macOS (Big Sur و Catalina) تحت تأثیر قرار می گیرند اما هنوز به روز رسانی در دسترس نیستند یا اینکه tvOS آسیب پذیر است اما هنوز اصلاح نشده است، وجود ندارد.

برای اطلاعات بیشتر، این فضا را تماشا کنید و چشمان خود را به صفحه پورتال امنیتی بولتن رسمی اپل نگاه دارید. HT201222.