Apple, iOS, iPadOS, macOS, watchOS ve tvOS’ta kötüye kullanılan bir sıfır gün çekirdeği güvenlik açığını (CVE-2023-38606) yamaladı.
CVE-2023-38606 düzeltmesi geri aktarıldı
Temmuz ayı başlarında Apple, WebKit’te aktif olarak kullanılan bir sıfır gün güvenlik açığını (CVE-2023-37450) düzeltti.
Güvenlik açığı, iOS 16.5.1 ve iPadOS 16.5.1, macOS Ventura 13.4.1 ve Safari’de (16.5.2) düzenli bir güncelleme aracılığıyla Hızlı Güvenlik Yanıtı güncellemesiyle yamalandı ve böylece düzeltme eski macOS sürümlerinin (macOS Big Sur ve macOS Monterey) kullanıcılarına da sunuldu.
Bu yamalar artık desteklendi ve şunlara dahil edildi:
Düzeltme, Safari 16.6’ya (önceki Safari 16.5.2 güncellemesi kapsamında olduğu için) veya macOS Monterey 12.6.8 ve macOS Big Sur 11.7.9’a (aynı nedenle) dahil edilmedi.
CVE-2023-38606 hakkında
24 Temmuz güvenlik güncellemeleri, saldırganlar tarafından istismar edilen başka bir sıfır gün güvenlik açığı (CVE-2023-38606) dahil olmak üzere çeşitli işletim sistemi sürümlerini etkileyen çeşitli güvenlik açıklarını düzeltti.
CVE-2023-38606, kötü amaçlı bir uygulamanın hassas çekirdek durumunu değiştirmesine izin verebilecek bir çekirdek güvenlik açığıdır. Apple, “Apple, bu sorunun iOS 15.7.1’den önce yayınlanan iOS sürümlerinde aktif olarak kullanılmış olabileceğine dair bir raporun farkındadır” yorumunu yaptı.
Güvenlik açığı, Kaspersky araştırmacıları Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin, Leonid Bezvershenko ve Boris Larin tarafından bildirildi ve araştırmacıların TriangleDB olarak adlandırdığı iOS casus yazılımı tarafından kullanılan açıklardan yararlanma zincirinin bir parçasını oluşturuyor. (Aynı zincirde kullanılan iki güvenlik açığı Apple tarafından Haziran sonunda giderildi.)
TriangleDB casus yazılımından yararlanan saldırıların çok hedefli olduğu görülüyor; Kaspersky, kullanıcıların kurbanlar arasında olup olmadıklarını kontrol etmek için kullanabilecekleri bir araç sağladı.
Apple cihaz kullanıcılarının en son güncellemeleri mümkün olan en kısa sürede uygulamaları tavsiye edilir.