Apple, eski iPhone ve iPad’lerde uzaktan yararlanılabilen sıfır gün güvenlik açığını ele alan güvenlik yamalarını destekledi.
Bu hata CVE-2022-42856 olarak izlenir ve Apple’ın Webkit web tarayıcısı tarama motorundaki bir tür karışıklığı zayıflığından kaynaklanır.
Apple, Google’ın Tehdit Analizi Grubu’ndan Clément Lecigne tarafından keşfedilen kusurun, kötü amaçlarla oluşturulmuş web sayfalarının savunmasız cihazlarda keyfi kod yürütmesine (ve muhtemelen hassas bilgilere erişmesine) izin verdiğini söyledi.
Saldırganlar, hedeflerini kontrolleri altındaki kötü amaçlarla oluşturulmuş bir web sitesini ziyaret etmeleri için kandırarak bu kusurdan başarıyla yararlanabilirler.
Bir kez başarıldığında, keyfi kod yürütme, temeldeki işletim sisteminde komutları yürütmelerine, ek kötü amaçlı yazılım veya casus yazılım yükleri dağıtmalarına veya diğer kötü amaçlı etkinlikleri tetiklemelerine izin verebilir.
Bugün yayınlanan bir güvenlik danışma belgesinde Apple, bir kez daha bu güvenlik kusurunun “aktif olarak kullanılmış olabileceğine” dair raporların farkında olduklarını söyledi.
Şirket, şu cihazlar için iyileştirilmiş durum işleme ile sıfır gün hatasını ele aldı: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 ve iPod touch (6. nesil).
Saldırıları engellemek için eski cihazların güvenliğini sağlayın
Apple, aktif istismar raporları aldığını açıklasa da, şirket bu saldırılarla ilgili henüz bilgi yayınlamadı.
Apple, bu bilgileri saklayarak, diğer saldırganlar sıfırıncı günün ayrıntılarını öğrenmeden ve savunmasız iPhone’ları ve iPad’leri hedef alan özel açıklardan yararlanmaya başlamadan önce mümkün olduğunca çok sayıda kullanıcının cihazlarına yama uygulamasına izin vermeyi amaçlıyor.
Bu güvenlik açığı büyük olasılıkla yalnızca hedefli saldırılarda kullanılmış olsa da, olası saldırı girişimlerini engellemek için bugünün güvenlik güncellemelerini mümkün olan en kısa sürede yüklemeniz şiddetle tavsiye edilir.
CISA, 14 Aralık’ta bilinen istismar edilen güvenlik açıkları listesine sıfır günü ekledi ve Federal Sivil Yürütme Şubesi (FCEB) kurumlarının onları “aktif tehditlere karşı” güvence altına almak için yama yapmasını gerektirdi.
Bugün Apple, Safari web tarayıcısında ve en son macOS, iOS ve watchOS sürümlerinde düzinelerce başka güvenlik açığını da yamaladı.