Apple, telefonları ve iPad'leri hedef alan saldırılarda aktif olarak sömürülen sıfır gün bir güvenlik açığını düzeltmek için IOS 15.0.2 ve iPados 15.0.2'yi serbest bıraktı.
CVE-2021-30883 olarak izlenen bu güvenlik açığı, IOMobilefRameBuffer'deki kritik bir bellek bozulması hatasıdır.
Çekirdek ayrıcalıkları, uygulamanın cihazdaki herhangi bir komutu yürütmesine izin verirken, tehdit aktörleri, veri çalmak veya daha fazla kötü amaçlı yazılım yüklemek için potansiyel olarak kullanabilirler.
Apple, bu güvenlik açığının saldırılarda nasıl kullanıldığı hakkında herhangi bir ayrıntı sağlamamış olsa da, saldırılarda aktif olarak kullanıldığı raporların olduğunu belirtiyorlar.
Şirket, bugün daha önce yayınlanan bir güvenlik danışmanlığında, "Apple, bu konunun aktif olarak yararlandığı bir raporun farkındadır" dedi.
Apple, güvenlik açığı raporlarını kasten korur, güncellemenin, diğer tehdit aktörlerinden daha önce mümkün olduğunca çok sayıda cihaza uygulandığından emin olmak için, kendi istismarlarını oluşturmak için yamayı detayları veya geri mühendisliği yapabilmelerini sağlamak.
Bununla birlikte, güvenlik açığı serbest bırakıldıktan kısa bir süre sonra, Security Araştırmacısı Saar Amar, ters mühendislikten elde edilen teknik bir yazı ve konsept ispatı kanıtı yayımladı.
Etkilenmiş cihazların listesi, iPhone 6'ları ve daha sonra iPad Pro (tüm modeller), iPad Air 2 ve daha sonra, iPad 5. nesli ve daha sonra, iPad Mini 4 ve daha sonra ve iPod Touch (iPad) (iPad) ve iPod Touch ( 7. Energe).
Güvenlik açığının hedeflenen saldırılarda kullanılması ve yaygın olarak kullanılmaması mümkün olsa da, şiddeti nedeniyle güncellemenin en kısa sürede yüklenmesi şiddetle tavsiye edilir.
Bugünün sıfır gününün yanı sıra, Apple, iPhone, iPad ve MacOS cihazlarına yönelik saldırılarda kullanılan sıfır günlük güvenlik açıklarının hiç olmadığı gibi hissettiren şeyleri düzeltmiştir:
Geçen ay, bir araştırmacı, Apple'ın geciktirilmesinden sonra üç sıfır gün güvenlik açıklaması için açıklanmış bir araştırmacı ve onları bildiren kişiye kredi veremediler.
Güncelleme 10/11/21 5:39 PM EST: Güvenlik açığı hakkında teknik yazı eklendi.
Araştırmacı, Apple'ın düzeltmeyi reddettiği üç iOS sıfır gün düştü.
Apple, NSO iphone casus yazılımını dağıtmak için kullanılan IOS sıfır günü düzeltti
NSO casus yazılımını dağıtmak için kullanılan yeni sıfırla iPhone desteği
Apple Yamaları Yeni sıfır günlük böcek, iPhone'ları ve Mac'leri kesmek için kullanılır
Yeni MacOS sıfır gün böcek saldırganların uzaktan komutları çalıştırmasını sağlar
Kaynak: Bleeping Computer