Ağustos bir Apple, Google ve Microsoft, halihazırda istismar edilen güvenlik açıkları için acil durum düzeltmeleri yayınlayan firmalar arasında güvenlik yamaları için tampon ay. Ay ayrıca VMWare, Cisco, IBM ve Zimbra gibi şirketlerden gelen bazı büyük düzeltmeler gördü.
Ağustos ayında yayınlanan önemli güvenlik düzeltmeleri hakkında bilmeniz gereken her şey burada.
Apple iOS 15.6.1
İki aylık bir yama aradan ve ardından Temmuz ayında birden fazla düzeltmenin ardından Apple, Ağustos ayında iOS 15.6.1 ile bir acil durum güvenlik güncellemesi yayınladı. iOS güncellemesi, her ikisi de vahşi doğada saldırganlar tarafından kullanılan iki kusuru düzeltti.
WebKit’teki (CVE-2022-32893) ve Kernel’deki (CVE-2022-32894) güvenlik açıklarının ciddi sonuçlara yol açan saldırılarda birbirine zincirlendiği düşünülüyor. Başarılı bir saldırı, bir saldırganın iPhone’unuzun kontrolünü ele geçirmesine ve hassas dosyalarınıza ve banka bilgilerinize erişmesine izin verebilir.
Sophos’ta baş araştırma bilimcisi olan Paul Ducklin, güvenlik açıklarını analiz eden bir blogda, Apple tarafından uygulanan neredeyse tüm güvenlik kısıtlamalarını atlayarak “tipik olarak bir cihaz jailbreak’i kurmak için gereken tüm işlevselliği sağlar” iki kusuru bir araya getirdi. Ducklin, bunun potansiyel olarak düşmanların “arka plan casus yazılımları yüklemesine ve sizi kapsamlı gözetim altında tutmasına” izin vereceğini açıkladı.
Apple, çoğu kişi güncellenene kadar güvenlik açıklarıyla ilgili ayrıntıları vermekten her zaman kaçınır, bu nedenle saldırı hedeflerinin kim olduğunu bilmek zordur. Güvende olduğunuzdan emin olmak için cihazlarınızı gecikmeden iOS 15.6.1’e güncellemelisiniz.
Apple ayrıca bir sonraki fırsatta güncellemeniz gereken iPadOS 15.6.1, watchOS 8.7.1 ve macOS Monterey 12.5.1’i de yayınladı.
Google Chrome
Google, bu yıl beşinci sıfır gün hatasını düzeltmek için Ağustos ayında bir güvenlik güncellemesi yayınladı. Bir danışma belgesinde Google, Ağustos ayında düzeltilen 11 güvenlik açığını listeledi. Yamalar, FedCM’de CVE-2022-2852 olarak izlenen ve kritik olarak derecelendirilen ücretsiz kullanım sonrası bir kusurun yanı sıra altı yüksek dereceli sorun ve üçü orta düzeyde etkiye sahip olarak sınıflandırılmıştır. Yüksek puanlı güvenlik açıklarından biri, saldırganlar tarafından istismar edildi, CVE-2022-2856.
Google, istismar edilen kusur hakkında herhangi bir ayrıntı sağlamadı, ancak saldırganlar ayrıntıları ele geçirdiğinden, Chrome’u şimdi güncellemek iyi bir fikirdir.
Ağustos ayının başlarında Google, Chrome 104’ü yayımladı ve yedisi yüksek etkiye sahip olarak derecelendirilen 27 güvenlik açığını düzeltti.
Google Android
Ağustos Android güvenlik düzeltme eki, ciddi güvenlik açıkları için düzinelerce düzeltme içeren, ek bir ayrıcalığa ihtiyaç duymadan yerel ayrıcalık yükselmesine yol açabilecek çerçevede bir kusur da dahil olmak üzere, ağır bir düzeltmeydi. Bu arada, medya çerçevesindeki bir sorun, uzaktan bilgi ifşasına yol açabilir ve sistemdeki bir kusur, Bluetooth üzerinden uzaktan kod yürütülmesine neden olabilir. Çekirdek bileşenlerindeki bir güvenlik açığı, yerel ayrıcalıkların yükselmesine de yol açabilir.
Android güvenlik yaması Ağustos ayının sonlarındaydı, ancak artık Google’ın Pixel serisi, Nokia T20 ve Samsung Galaxy cihazları (Galaxy S serisi, Galaxy Note serisi, Galaxy Fold serisi ve Galaxy Flip serisi dahil) gibi cihazlarda mevcut.
Microsoft
Microsoft’un Ağustos Salı Yaması, 17’si kritik olarak derecelendirilen 100’den fazla güvenlik açığını düzeltti. Düzeltmeler arasında, DogWalk olarak da bilinen CVE-2022-34713 olarak izlenen ve zaten yararlanılmış bir kusur için bir yama vardı.
Windows Destek Teşhis Aracı’ndaki (MDST) uzaktan kod yürütme (RCE) kusuru, yüksek etkiye sahip olarak derecelendirilmiştir, çünkü bundan yararlanmak sistem güvenliğinin ihlaline neden olabilir. Tüm Windows ve Windows Server kullanıcılarını etkileyen güvenlik açığı, ilk olarak iki yıldan uzun bir süre önce Ocak 2020’de ortaya çıktı, ancak Microsoft o sırada bunu bir güvenlik sorunu olarak görmedi.
VMware
VMWare, CVE-2022-31656 olarak izlenen kritik bir kimlik doğrulama atlama hatası da dahil olmak üzere Ağustos ayında bir dizi kusuru düzeltti. Yazılım firması, yamayı yayınlarken, kamudan yararlanma kodunun mevcut olduğu konusunda uyardı.
VMWare ayrıca VMware Workspace ONE Access, Identity Manager ve CVE-2022-31658 olarak izlenen ve sekiz CVSS puanıyla izlenen Aria Automation’da (eski adıyla vRealize Automation) bir RCE güvenlik açığını düzeltti. Bu arada, VMware Workspace ONE Access ve Identity Manager’da bulunan bir SQL enjeksiyon RCE güvenlik açığı da sekiz CVSS puanı aldı. Her ikisi de, uzaktan kod yürütmeyi tetikleyebilmeleri için bir saldırganın yönetici ve ağ erişimine sahip olmasını gerektirir.