Yönetişim ve Risk Yönetimi , Yama Yönetimi , Güvenlik Açığı Değerlendirmesi ve Sızma Testi (VA/PT)
En Son Hızlı Güvenlik Yanıtı, Web Sitelerinin Düzgün Görüntülenmesini Engelleyebilir
Bay Mihir (MihirBagwe) •
11 Temmuz 2023
Apple, kullanıcılardan, vahşi doğada aktif olarak sömürülen sıfırıncı gün güvenlik açığını gidermek için Pazartesi günü yayınlanan en son acil durum yazılım güncellemelerini kaldırmalarını istedi.
Ayrıca bakınız: Yedi Olması Gereken Uç Nokta Yönetim Yeteneği
Teknoloji devi Salı günü, en son düzeltmenin bazı web sitelerinin kullanıcı cihazlarında düzgün şekilde görüntülenmesini engelleyebileceğini doğruladı. Sorunu ele alan yamaların yakında kullanıma sunulması bekleniyor.
Apple sözcüsü, web’de gezinme sorununun nasıl olduğunu açıklamadı, ancak MacRumors forumundaki kullanıcılar, güncellemelerin Safari kullanıcı aracısını değiştirdiğini ve bunun da Facebook, Instagram ve Zoom dahil olmak üzere belirli web sitelerinin bozulmasına yol açtığını söyledi.
Pazartesi günü Apple, iPhone, iPad ve MacOS ürünlerinde tarayıcı oluşturma motorunu hedefleyen sıfır günü hedef alan ikinci Hızlı Güvenlik Yanıtını yayınladı. RSR, Apple’ın düzenli güvenlik güncellemelerinden ayrıdır. Bu, vahşi ortamda istismar edilen iPhone, iPad ve Mac cihazlarının kritik güvenlik sorunları için düzeltmeler sağlayan bant dışı bir sürümdür.
CVE-2023-37450 olarak izlenen güvenlik açığı, kurbanlar kötü amaçlarla oluşturulmuş web içeriğini açtığında saldırganların hedeflenen cihazlarda rasgele kod yürütmesine izin veren bir WebKit hatasıdır. Teknoloji devi, kötü amaçlı yazılımlara yönelik geliştirilmiş kontrollerle sorunu çözdüğünü söyledi.
Apple, ilk RSR sürümünde olduğu gibi, hatanın sınırlı ayrıntılarını açıkladı, ancak bu sorunun aktif olarak kullanılmış olabileceğine dair bir raporun farkında olduğunu söyledi.
Apple, Mayıs ayında üç sıfır günlük düzeltmelerle birlikte Hızlı Güvenlik Yanıtlarını tanıttı (bkz: Apple, Doğada İstismar Edilen 3 Sıfır Günü Düzeltti). Şirket, “Yazılım güncellemeleri arasında önemli güvenlik iyileştirmeleri sağlıyorlar – örneğin, Safari web tarayıcısında, WebKit çerçeve yığınında veya diğer kritik sistem kitaplıklarında iyileştirmeler” dedi.
En son güvenlik açığının keşfi, iOS’u etkileyen kusuru bulan isimsiz bir güvenlik araştırmacısına atfedilir; iPadOS; macOS Big Sur, Monterey ve Ventura; ve Safari tarayıcısı. Sıfır gün, aşağıdaki sürümlerde düzeltildi:
Sophos güvenlik propagandacısı Paul Ducklin Salı günü “Bu son yamalar kritik kabul edilmelidir. Düzeltilen hata göz önüne alındığında, bunların şu anda gerçekleşen canlı bir casus yazılım veya kötü amaçlı yazılım saldırısıyla ilişkili olduklarını varsayıyoruz” dedi. “Argo olmayan bir dilde, ‘aktif olarak sömürülen’, ‘bu bir sıfır gün’ veya daha açık bir şekilde, ‘sahtekarlar ilk önce bunu buldu’ anlamına gelir, bu da şu anlama gelir: Erteleme, sadece bugün yap.”
Apple, 2023’ün başından bu yana 10 sıfır gün tespit etti. En dikkate değer olanı, Kaspersky’nin TriangleDB olarak adlandırdığı sıfır tıklamalı iMessage kötü amaçlı yazılımını dağıtmak için 2019’dan beri aktif olarak yararlanılan birden çok sıfır gündü (bkz:: Apple Birden Fazla 4 Yaşındaki Sıfır Gün Sorununu Düzeltiyor).