Поделиться
Apple спешно залатала «дыры» в ПО для iPhone, iPad и Mac, в которые уже ринулись хакеры
Apple выпустила обновления безопасности к двум уязвимостям нулевого дня в своих разработках, которыми уже активно пользовались злоумышленники. Сами по себе уязвимости тривиальны.
Соблюдайте пределы
Компания Apple выпустила экстренные патчи к двум уязвимостям, которые затрагивали программные оболочки новейших версий iPhone, iPad и Mac.
Первая, CVE-2022-22674 обнаружилась в графическом драйвере Intel: она относится к типу out-of-bondsread — считывание данных вне пределов выделенного диапазона памяти. С ее помощью можно считывать содержимое памяти ядра.
Вторая уязвимость, CVE-2022-22675 позволяет записывать данные за пределами выделенной области памяти, и, как следствие, позволяет запускать произвольный код в контексте приложения с правами уровня ядра. Этот баг выявлен в медиа-декодере AppleAVD.
В целом уязвимыми оказываются компьютеры Mac под управлением macOS Moneterey, iPhone модели 6s и новее, все версии iPad Pro, iPad пятого поколения и позже, iPad Air 2 и позже, iPad mini 4 и iPod touch седьмого поколения.
Уязвимость устраняется обновлениями iOS 15.4.1, iPadOS 15.4.1 и macOS Monterey 12.3.1. Эти обновления реализуют надлежащую валидацию вводимых и считываемых данных.
Ставьте патчи
В Apple признали, что эти уязвимости уже активно эксплуатируются, но подробную информацию об атаках раскрывать не стали. Возможно, публикация о них последует позднее, когда обновления получит большее число устройств. Обладателям вышеперечисленных гаджетов настоятельно рекомендуется установить патчи как можно скорее.
«Описанные уязвимости встречаются часто и, как правило, говорят о не самом высоком уровне авторов кода, — говорит Алексей Водясов, технический директор компании SEQ. — Обнадеживает лишь то, что обновления для устройств Apple рассылаются централизованно, так что есть надежда, что они будут установлены достаточно оперативно, до того, как злоумышленники нанесут много вреда».
Как отмечается в публикации Bleeping Computer, только с начала 2022 г. Apple исправила пять уязвимостей нулевого дня. Некоторые из них допускали запуск произвольного кода удаленно. Как минимум одна использовалась в атаках на iPhone, iPad и ПК Apple.
В течение 2021 г. исправление уязвимостей нулевого дня в продуктах Apple носило систематический характер. Большая часть исправленных багов использовалась в практических атаках. В частности, вендору пришлось устранять ошибки, сделавшие возможным заражение устройств шпионским ПО Pegasus.
Короткая ссылка
