Perşembe günü elma Apple’ın aktif olarak istismar edildiğini söylediği üç güvenlik açığına karşı yama yapmak amacıyla iPhone’lar, iPad’ler, Mac’ler, Apple Watch ve Safari kullanıcıları için acil güvenlik güncellemeleri yayınladı.
Üç güvenlik açığı arasında Safari’ye güç sağlayan tarayıcı motoru WebKit’teki bir kusur yer alıyor; kötü amaçlı bir uygulamanın etkilenen cihazda çalışmasına izin verebilecek bir sertifika doğrulama hatası; ve işletim sisteminin çekirdeği olan çekirdeğe daha geniş erişim sağlamak için kullanılabilecek üçüncü bir hata. Bu üç güvenlik açığı, hataların bir hedefin cihazına erişim sağlamak için birlikte kullanıldığı bir yararlanma zincirinin parçasını oluşturur.
Hata düzeltmeleri, casus yazılım gibi siber saldırı riskini sınırlamayı amaçlayan bir dizi yeni güvenlik ve gizlilik özelliği içeren iOS 17’nin piyasaya sürülmesinden birkaç gün sonra geldi.
Apple ise yalnızca iOS 16.7 ve önceki sürümleri çalıştıran kullanıcıları hedef alan aktif istismarın farkında olduğunu söyledi. Apple, hata düzeltmesini iOS 16.7’nin yanı sıra macOS Ventura ve Monterey’in eski sürümleri ile watchOS’a da geri taşıdı.
hatalar keşfedildi Google’ın devlet destekli tehditleri araştıran Tehdit Analizi Grubu’nda araştırmacı olan Maddie Stone ve Citizen Lab’den Bill Marczak tarafından. Cuma günü yayınlanan blog yazılarında, her ikisi de Google Ve Vatandaş Laboratuvarı Apple’ın en son güncellemelerinin, Predator casus yazılımını Mısırlı bir başkan adayının telefonuna yerleştirmek için kullanılan bir açıktan yararlanmayı engellemek olduğunu doğruladı.
Predator, Intellexa’nın bir yan kuruluşu olan Cytrox tarafından geliştirilen ve yerleştirildiğinde genellikle kötü amaçlı web sitelerine işaret eden sahte metin mesajları yoluyla bir kişinin telefonunun içeriğini çalabilen bir casus yazılımdır. Hem Cytrox hem de Intellexa, bu yılın başlarında ABD hükümetinin red listesine eklendi ve ABD şirketlerinin onlarla iş yapması etkili bir şekilde yasaklandı.
Bu, Apple’ın bu ay yayınladığı ikinci yüksek profilli güvenlik güncellemesidir. Eylül ayının başlarında Citizen Lab, NSO Grubu tarafından geliştirilen Pegasus casus yazılımını yerleştirmek için tamamen güncel bir iPhone’da (o sırada) sıfır tıklama güvenlik açığı olduğuna dair kanıt bulduğunu söyledi. Hedef, Washington merkezli isimsiz bir kuruluşta çalışan bir kişiydi.
Güvenlik açığı, Citizen Lab tarafından sağlanan bir yararlanma zincirinin parçası olarak kullanıldı. BLASTPASS adlıçünkü geliştiricilerin uygulamalarına Apple Pay’i dahil etmelerine olanak tanıyan bir çerçeve olan PassKit’i içeriyordu.
Perşembe günü TechCrunch Disrupt’ta konuşan Marczak, bu güvenlik açığının ABD merkezli bu kurbanın cihazına yönelik başarısız bir saldırı girişiminden kaynaklandığını söyledi.
Marczak, “Bu girişim başarısız olduğundan, bu sıfır tıklama istismarının kalıntıları telefonda kaldı” dedi. “Bu durumda, güvenlik açığının kökü Google’ın iPhone’a entegre olan WebP resim kitaplığında bulunan bir hataydı. Saldırganlar, sisteme casus yazılım yüklemek için Apple’ın iMessage korumalı alanında rastgele kod çalıştırmak amacıyla bundan yararlanmanın bir yolunu buldu.”
Cihazlarınızı bugün güncelleyin.