bencede
New member
NSO Grup Saldırısı: iPhone, iPad, Mac ve Apple Watch için Acil Durum Güncellemeleri
Düzeltme: iOS 16.6.1, iPadOS 16.6.1, macOS 13.5.2 ve watchOS 9.6.2 Perşembe akşamı indirilebilir. iPhone, iPad, Mac ve Apple Watch’a yönelik dört güncellemenin tamamı paket ekinde yalnızca basit bir ifade içeriyor: “Bu güncelleme önemli güvenlik düzeltmeleri sağlar ve tüm kullanıcılar için önerilir.”
Duyuru
Uyarı: Tıklamasız saldırı
Bunun gerçekte ne anlama geldiği, Apple’ın güvenlik güncellemeleri için resmi destek sayfasında bulunabilir: Apple’a göre halihazırda dolaşımda olan toplam iki hata listelenmiştir: “Apple, bu sorunun ortaya çıkabileceğini bildiren bir raporun farkındadır. aktif olarak istismar edildi.”
Aktivistlere, gazetecilere ve politikacılara yönelik dijital casusluk saldırılarını keşfetmesiyle tanınan Toronto Üniversitesi’ndeki Citizen Lab araştırma enstitüsüne göre delikler, Apple tarafından halihazırda dava edilmiş olan tartışmalı güvenlik şirketi NSO Group tarafından kullanılıyor. Araştırmacılar bu istismar zincirine “BLASTPASS” adını veriyor. Sıfır tıklama saldırısı olarak adlandırılan, kullanıcı etkileşimi olmadan bir enfeksiyona neden olduğu söyleniyor. Citizen Lab şu ana kadar hangi kurbanların saldırıya uğradığını henüz açıklamadı.
En az iki güvenlik açığından yararlanıldı
Güvenlik uzmanlarına göre saldırı, saldırganın iMessage hesabından kurbana gönderilen, kötü amaçlı görüntüler içeren PassKit eklentileri aracılığıyla gerçekleştirildi. Daha detaylı teknik detaylar daha sonra verilecektir. Apple’a göre iOS 16.6, iPadOS 16.6 ve muhtemelen önceki sürümleri özellikle savunmasızdır. ImageIO (CVE-2023-41064) görüntü işleme rutininde, değiştirilmiş bir görüntü aracılığıyla istenmeyen kodu yürütmek için kullanılabilecek boşluklar vardır (Apple bunun hangi haklarla yapıldığını belirtmez).
Ayrıca, üzerinde oynanmış bir eklenti içerebilen, kredi kartlarını ve cezaları yönetmeye yönelik Cüzdan uygulaması da (CVE-2023-41061) bu durumdan etkilenmiştir. Bu aynı zamanda rastgele kod yürütülmesine de yol açar. Her iki hata da daha iyi bellek yönetimi (ImageIO) veya “geliştirilmiş mantık” (Wallet) yoluyla çözüldü.
Mac ve Apple Watch
ImageIO’daki hata macOS’ta da mevcut, sürüm 13.5.2 bunu düzeltiyor. Ancak cüzdan hatası burada eksik. watchOS 9.6.2’de yalnızca cüzdan sorunu düzeltildi; ImageIO üzerinden saldırı ihtimali yok gibi görünüyor.
İlginç bir şekilde güncellemeler, Apple’ın Hızlı Güvenlik Yanıtı (RSR) adı verilen yeni “hızlı güvenlik önlemleri” değil. Bunun yerine, dört güncellemenin tamamı Yazılım Güncellemesi aracılığıyla düzenli olarak dağıtılır ve tam yeniden başlatma gerektirir.
Güncelleme
08/09/2023
09:49
Saat
Saldırı potansiyelini vurgulamak için mesaj yapısı değiştirildi.
(bsc)
Haberin Sonu