Apple, daha önce saldırganlar tarafından iPhone'ları, iPad'leri veya Mac'leri hacklemek için kullanılan iki sıfır günlük güvenlik açıkını düzeltmek için bugün acil güvenlik güncellemeleri yayınladı.
Sıfır gün güvenlik açıkları, yazılım satıcısı farkına varmadan veya bunları düzeltmeden önce saldırganlar veya araştırmacılar tarafından bilinen güvenlik kusurlarıdır. Birçok durumda, sıfır günlerde kamuoyu kavram kanıtı vardır veya saldırılarda aktif olarak sömürülür.
Bugün Apple, aktif olarak sömürüldüğü bildirilen iki sıfır günlük güvenlik açığını çözmek için MacOS Monterey 12.5.1 ve iOS 15.6.1/iPados 15.6.1'i yayınladı.
İki güvenlik açığı üç işletim sistemi için de aynıdır ve ilki CVE-2022-32894 olarak izlenir. Bu güvenlik açığı, işletim sisteminin çekirdeğinde sınır dışı bir yazma açığıdır.
Çekirdek, bir işletim sisteminin temel bileşeni olarak çalışan ve macOS, iPados ve iOS'ta en yüksek ayrıcalıklara sahip bir programdır.
Kötü amaçlı yazılım gibi bir uygulama, bu güvenlik açığını çekirdek ayrıcalıklarıyla kod yürütmek için kullanabilir. Bu en yüksek ayrıcalık seviyesi olduğundan, bir süreç cihazda herhangi bir komutu gerçekleştirebilir ve bu üzerinde etkili bir şekilde kontrol eder.
İkinci sıfır gün güvenlik açığı CVE-2022-32893'tür ve Webkit'te, Safari tarafından kullanılan web tarayıcı motoru ve web'e erişebilen diğer uygulamalarda bulunan bir yazma güvenlik açığıdır.
Apple, bu kusurun bir saldırganın keyfi kod yürütmesi yapmasına izin vereceğini ve web motorunda olduğu gibi, kötü niyetli bir web sitesini ziyaret ederek uzaktan istismar edilebileceğini söyledi.
Hatalar anonim araştırmacılar tarafından bildirildi ve Apple tarafından iOS 15.6.1, iPados 15.6.1 ve MacOS Monterey 12.5.1'de her iki hata için geliştirilmiş sınırları kontrol etti.
Her iki güvenlik açıkından etkilenen cihazların listesi şunlardır:
Apple, vahşi doğada aktif sömürü açıkladı, ancak bu saldırılarla ilgili ek bilgi yayınlamadı.
Muhtemelen, bu sıfır günler sadece hedeflenen saldırılarda kullanıldı, ancak bugünün güvenlik güncellemelerini mümkün olan en kısa sürede kurmanız şiddetle tavsiye ediliyor.
Mart ayında Apple, Intel Graphics sürücüsünde (CVE-2022-22674) ve AppleAvD'de (CVE-2022-22675) kullanılan iki sıfır günlük hatayı daha ekledi.
Ocak ayında Apple, saldırganların çekirdek ayrıcalıklarıyla (CVE-2022-22587) keyfi kod yürütülmesini sağlayan ve web tarama etkinliğini ve kullanıcıların kimliklerini gerçek zamanlı olarak izleyen iki aktif olarak sömürülen sıfır gün daha yamaladı (CVE-2022-22594 ).
Şubat ayında Apple, iPhone'ları, iPad'leri ve Mac'leri kesmek için kullanılmış yeni bir sıfır gün hatasını düzeltmek için güvenlik güncellemeleri yayınladı, bu da kötü tasarlanmış web içeriğini işledikten sonra uzlaşmış cihazlarda işletim sistemi çöküşlerine ve uzaktan kod yürütülmesine yol açtı.
Kaynak: Bleeping Computer