Ezért frissíts mielőbb iOS 12.1.4-re

Egy új bejelentés szerint két, az iOS legutóbbi frissítésében már kijavított biztonsági hibát használhattak ki bűnözők valós helyzetekben.

Úgy tűnik, a támadásokat még azelőtt hajtották végre, hogy az Apple kiadta volna az iOS 12.1.4-es verzióját, tehát a jelek szerint a biztonsági rések tehát 0-day, azaz a javításra rendelkezésre álló idő nélkül “ellőtt” sebezhetőségnek minősülnek.

Ben Hawkes, a Google kiberbiztonsági kutatócsoportjának, a Project Zero-nak a vezetője február 7-én, Twitteren tette közzé a támadásokkal kapcsolatos felfedezéseit:

Azt egyelőre nem lehet tudni, hogy a sérülékenységeket pontosan hogyan használták fel, vagy hogy ki állt a támadások hátterében. Az sem világos még, hogy vajon a támadások szervezett, rendszeres csapatmunka részét képezték-e, vagy csak ötletszerű, kevésszer kivitelezett bűncselekményekről van szó.

Az iOS 12.1.4-es frissítése, amelyet február 7-én adtak ki, elsősorban a nagy sajtóvisszhangot kapott Csoportos FaceTime-bug javítására szolgál. De az Apple biztonsági frissítésekről szóló oldalán a részletekben elmélyülők arról is olvashatnak, hogy ez a kiadás még jópár hibát javított, köztük a Hawkes által említett párost is.

Az Apple hivatalos közleménye szerint ez a két bug a Foundation és az IOKit nevű framework-ök memóriakezelési hibájából származott. (Az előbbit gyakorlatilag minden iOS-es alkalmazás használja, a második pedig bizonyos kernelszintű szolgáltatások eléréséhez szükséges.) A két sebezhetőség rendre a CVE-2019-7286 és CVE-2019-7287 jelzést kapta meg. Az első azt tette lehetővé, hogy egy rosszindulatú alkalmazás magának a megengedettnél több jogosultságot szerezve fusson, a második pedig egyenesen kernelszintű jogokkal futtathatott kódot, így tulajdonképp mindkét hiba a sandbox környezetből való bizonyos fokú megszökésre adott alkalmat.

Az Apple szerint az iPhone 5s és az annál későbbi telefonok, a hatodik generációs és frissebb iPod touch-ok, valamint az iPad Air és a későbbi iPadek érintettek az esetben. Az almás cég több biztonsági szakértőt nevezett meg a sérülékenységek felfedezőjeként, köztük volt a Google-től Clement Lecigne, Ian Beer, Samuel Groß, és egy névtelen személy is.

Az iOS 12.1.4 mindemellett egy olyan hibát is javít, ami a “Live Photos in FaceTime” funkcióval kapcsolatos, ám erről a cég nem osztott meg további részleteket.

Fontos tehát megismételni, hogy mivel a korábban megtalált hibákat már ténylegesen ki is aknázták iPhone-tulajdonosok ellen, ezért minden iOS-készüléket használónak erősen ajánlott a kütyük mielőbbi frissítése a további támadások elkerülése érdekében.

via szifon.com