Apple, iOS 16.7’den önceki iOS sürümlerine karşı kullanılan üç sıfır gün güvenlik açığını (CVE-2023-41992, CVE-2023-41991, CVE-2023-41993) düzeltmek için iOS ve iPadOS, macOS, watchOS ve Safari için güncellemeler yayınladı. .”
Toronto Üniversitesi Munk Okulu’ndaki Vatandaş Laboratuvarı’ndan Bill Marczak ve Google’ın Tehdit Analizi Grubu’ndan Maddie Stone’un bunları rapor ettiği belirtildi, dolayısıyla kusurlar muhtemelen casus yazılım dağıtmak için kullanıldı.
Yamalı sıfır günler (CVE-2023-41992, CVE-2023-41991, CVE-2023-41993)
Çekirdek çerçevesindeki CVE-2023-41992, yerel bir saldırganın ayrıcalıkları yükseltmesine olanak tanır.
CVE-2023-41991, Güvenlik çerçevesinde kötü amaçlı bir uygulama tarafından imza doğrulamasını atlamak için kullanılabilir.
WebKit tarayıcı motorundaki CVE-2023-41993, özel hazırlanmış web içeriğinin işlenmesiyle tetiklenebilir ve rastgele kod yürütülmesine yol açabilir.
Yayınlanan iOS/iPad 17.0.1 ve 16.7 sürümlerinde üçü için de yamalar bulunur; yalnızca WebKit kusuru için Safari güncellemesi; watchOS 10.0.1, 9.6.3 ve macOS Ventura 13.6’da Çekirdek ve Güvenlik açığına yönelik yamalar bulunur; ve yalnızca Çekirdek sürümü için macOS Monterey 12.7 (ancak her iki macOS sürümü için de ek CVE girişleri yakında gelecektir).
Citizen Lab tarafından işaretlenen son sıfır günler
Bu ayın başlarında Apple, saldırganların NSO Group’un Pegasus casus yazılımını yaymak için birbirine zincirlediği iki sıfır gün güvenlik açığını (CVE-2023-41064, CVE-2023-41061) kapattı. Her ikisi de Citizen Lab tarafından bildirildi.
Birkaç gün sonra Google, Chrome’un yaygın olarak kullanılan sıfır gün güvenlik açığına (CVE-2023-4863) yönelik bir güvenlik güncellemesi yayınladı. Güvenlik açığı WebP görüntü kitaplığında yer alıyor ve Apple Güvenlik Mühendisliği ve Mimarisi (SEAR) ile Citizen Lab tarafından rapor edildi. (Mozilla aynı gün Firefox, Firefox ESR ve Thunderbird’deki aynı kusuru düzeltti.)
Daha önce Google’ın Project Zero’sunda ve şimdi Isosceles’te (kurduğu bir güvenlik danışmanlık şirketi) çalışan Ben Hawkes, CVE-2023-4863 ve CVE-2023-41064’ün aynı kusur olabileceğini söylüyor.
CVE-2023-41064, ImageI/O çerçevesindeki bir arabellek taşması güvenlik açığıdır ve kötü amaçla hazırlanmış bir görüntüyle tetiklenebilir.
“Ancak ImageIO’nun yakın zamanda WebP dosyalarını desteklemeye başladığını biliyoruz ve 6 Eylül’de (iOS/macOS güvenlik bülteninden bir gün önce) Apple’ın güvenlik ekibinin Chrome’da acilen yamalanan (sadece 5 gün) bir WebP güvenlik açığı bildirdiğini biliyoruz. ilk rapordan sonra) ve Google tarafından ‘vahşi ortamda istismar edildi’ olarak işaretlendi. Buna dayanarak, muhtemelen öyle görünüyor [CVE-2023-41064] ve CVE-2023-4863 aynı hatadır” diye belirtti.
Ayrıca CVE-2023-4863’ün libwebp kütüphanesine doğru bir şekilde yamasının yapıldığını, onu kullanan tüm yazılımlara uygulanmasının muhtemelen biraz zaman alacağını söyledi.
iOS 17’de Geliştirilmiş Kilitleme Modu
Apple bu hafta iOS 17’yi ve bununla birlikte, yüksek düzeyde hedeflenen siber saldırılara (örneğin, Pegasus gibi devlet destekli paralı asker casus yazılımları) karşı risk altındaki kullanıcılara özel koruma sağlayan Kilitleme Moduna yönelik bazı güncellemeleri yayınladı.
Kilitleme Modu artık Apple Watch’ta da çalışıyor, varsayılan olarak fotoğraflardan coğrafi konum verilerini kaldırıyor ve cihazların güvenli olmayan Wi-Fi ağlarına ve 2G hücresel ağlara katılmasını engelliyor.