Apple, aktif olarak istismar edildiğini söylediği iki güvenlik açığı da dahil olmak üzere çeşitli güvenlik kusurlarını gidermek için güvenlik güncellemeleri yayınladı.
Eksiklikler aşağıda listelenmiştir –
- CVE-2024-23225 – Rastgele çekirdek okuma ve yazma yeteneğine sahip bir saldırganın, çekirdek bellek korumalarını atlamak için kullanabileceği, Çekirdekte bir bellek bozulması sorunu
- CVE-2024-23296 – RTKit gerçek zamanlı işletim sisteminde (RTOS), rastgele çekirdek okuma ve yazma yeteneğine sahip bir saldırganın çekirdek bellek korumalarını atlamak için kullanabileceği bir bellek bozulması sorunu
Şu anda kusurların vahşi doğada nasıl silah haline getirildiği belli değil. Apple, iOS 17.4, iPadOS 17.4, iOS 16.7.6 ve iPadOS 16.7.6 sürümlerinde iyileştirilmiş doğrulamayla her iki güvenlik açığının da giderildiğini söyledi.
Güncellemeler aşağıdaki cihazlar için mevcuttur –
- iOS 16.7.6 ve iPadOS 16.7.6 – iPhone 8, iPhone 8 Plus, iPhone X, 5. nesil iPad, iPad Pro 9,7 inç ve 1. nesil iPad Pro 12,9 inç
- iOS 17.4 ve iPadOS 17.4 – iPhone XS ve sonraki sürümleri, iPad Pro 12,9 inç 2. nesil ve sonraki sürümleri, iPad Pro 10,5 inç, iPad Pro 11 inç 1. nesil ve sonraki sürümleri, iPad Air 3. nesil ve sonraki sürümleri, iPad 6. nesil ve sonraki sürümleri, ve iPad mini 5. nesil ve sonrası
En son gelişmeyle Apple, yılın başından bu yana yazılımında aktif olarak yararlanılan toplam üç sıfır günü ele aldı. Ocak 2024'ün sonlarında, WebKit'te (CVE-2024-23222) iOS, iPadOS, macOS, tvOS ve Safari web tarayıcısını etkileyen ve rastgele kod yürütülmesine neden olabilecek bir tür karışıklığı kusuru tespit edildi.
Bu gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA), Bilinen İstismara Uğrayan Güvenlik Açıkları (KEV) kataloğuna iki kusur eklemesi ve federal kurumları 26 Mart 2024'e kadar gerekli güncellemeleri uygulamaya çağırmasının ardından geldi.
Güvenlik açıkları, Android Pixel cihazlarını etkileyen bir bilgi ifşa kusuru (CVE-2023-21237) ve Sunhillo SureLine'da kök ayrıcalıklarıyla kod yürütülmesine neden olabilecek bir işletim sistemi komut ekleme kusuruyla (CVE-2021-36380) ilgilidir.
Google, Haziran 2023'te yayınlanan bir tavsiye niteliğindeki belgede, “CVE-2023-21237'nin sınırlı, hedefli istismar altında olabileceğine” dair belirtiler bulduğunu kabul etti. CVE-2021-36380'e gelince, Fortinet geçen yılın sonlarında IZ1H9 adlı Mirai botnet'inin bu açıktan yararlanarak duyarlı cihazları DDoS botnet'e dönüştürdüğünü ortaya çıkardı.