Apple haast zich om patch voor iPhone en iPad voor 0 dagen uit te brengen Het werd gemeld door een onbekende bron

Apple heeft maandag een kwetsbaarheid met een hoog risico opgelost die aanvallers de mogelijkheid geeft om kwaadaardige code uit te voeren die met de hoogste privileges wordt uitgevoerd in de kernel van het besturingssysteem voor volledig bijgewerkte iPhones en iPads.

in AdviseurBij het opsporen van de kwetsbaarheid zei Apple dat CVE-2022-42827 “mogelijk actief is misbruikt”, met behulp van een uitdrukking die in de branche wordt gebruikt om aan te geven dat er misbruik wordt gemaakt van een voorheen onbekende kwetsbaarheid. Het defect van het geheugencorruptie is het resultaat van “buiten de grenzen schrijven”, wat betekent dat Apple-software code of gegevens invoerde buiten een beschermde bufferzone. Hackers maken vaak misbruik van dergelijke kwetsbaarheden zodat ze kwaadaardige code naar gevoelige delen van het besturingssysteem kunnen leiden en vervolgens de uitvoering ervan kunnen veroorzaken.

Apple zei dat de kwetsbaarheid werd gemeld door een “anonieme onderzoeker”, zonder verder uit te werken.

dit is Een spreadsheet onderhouden door Google-onderzoekers Laat zien dat Apple dit jaar tot nu toe zeven nuldagen heeft ingesteld, exclusief CVE-2022-42827. Als je dat laatste meetelt, zou Apple’s zero-day-totaal voor 2022 op acht komen. Bleeping Computer zei echter dat CVE-2022-42827 van Apple is de negende nuldag Het is opgelost in de afgelopen 10 maanden.

Zero-days zijn kwetsbaarheden die worden ontdekt en actief worden gelekt of uitgebuit voordat de verantwoordelijke leverancier de kans krijgt om een ​​patch uit te brengen om de bug te verhelpen. Een enkele zero-day verkoopt vaak voor een miljoen dollar of meer. Om hun investering te beschermen, opereren aanvallers zonder toegang doorgaans in natiestaten of andere organisaties met diepe zakken en maken ze misbruik van kwetsbaarheden in zeer gerichte campagnes. Zodra de verkoper de nuldag herkent, wordt deze meestal snel gecorrigeerd, waardoor de exploitatiewaarde daalt.

De economie maakt het onwaarschijnlijk dat de meeste mensen het doelwit zullen zijn van deze kwetsbaarheid. Nu een patch beschikbaar is, hebben andere aanvallers de mogelijkheid om deze te reverse-engineeren om hun eigen kwetsbaarheden te creëren voor gebruik tegen niet-gepatchte apparaten. Getroffen gebruikers, waaronder gebruikers van iPhone 8 en nieuwer, iPad Pro, iPad Air 3e generatie en nieuwer, iPad 5e generatie en nieuwer en iPad mini 5e generatie en nieuwer, moeten ervoor zorgen dat ze iOS 16.1 of iPadOS 16 gebruiken.

Samen met CVE-2022-42827 lossen de updates 19 andere kwetsbaarheden op, waaronder twee in de kernel, drie in het Point-to-Point-protocol, twee in WebKit en één in AppleMobileFileIntegrity, Core Bluetooth, IOKit en een sandbox-iOS. .