Apple har precis utfärdat en kort, skarp serie säkerhetskorrigeringar för Mac, iPhone och iPad.

Alla macOS-versioner som stöds (Big Sur, Monterey och Ventura) har patchar som du behöver installera, men endast iOS 16 och iPadOS 16 mobilversioner har för närvarande uppdateringar tillgängliga.

Som alltid kan vi ännu inte berätta för dig om iOS 15 och iPadOS 15 användare med äldre enheter är immuna och därför inte behöver en patch, är i riskzonen och kommer att få en patch inom de närmaste dagarna, eller är potentiellt sårbara men kommer att lämnas ute i kylan.

Två olika buggar åtgärdas i dessa uppdateringar; viktigare, båda sårbarheterna beskrivs inte bara som leder till "exekvering av godtycklig kod", men också som "aktivt utnyttjad", vilket gör dem nolldagarshål.

Hacka din webbläsare och pwn sedan kärnan

Buggarna är:

• CVE-2023-28205: Ett säkerhetshål i WebKit, varvid bara ett besök på en booby-fälld webbplats kan ge cyberbrottslingar kontroll över din webbläsare, eller faktiskt alla appar som använder WebKit för att rendera och visa HTML-innehåll. (WebKit är Apples delsystem för visning av webbinnehåll.) Många appar använder WebKit för att visa förhandsvisningar av webbsidor, visa hjälptext eller till och med bara för att skapa en snygg Om-skärm. Apples egen webbläsare Safari använder WebKit, vilket gör den direkt sårbar för WebKit-buggar. Dessutom innebär Apples App Store-regler att alla webbläsare på iPhones och iPads måste använda WebKit, vilket gör denna typ av bugg till ett verkligt problem med flera webbläsare för mobila Apple-enheter.
• CVE-2023-28206: En bugg i Apples IOSurfaceAccelerator-visningskod. Det här felet gör att en lokal app kan injicera sin egen falska kod direkt i själva operativsystemets kärna. Buggar för körning av kärnkod är oundvikligen mycket allvarligare än buggar på appnivå, eftersom kärnan är ansvarig för att hantera säkerheten för hela systemet, inklusive vilka behörigheter appar kan förvärva och hur fritt appar kan dela filer och data mellan sig.

Ironiskt nog är buggar på kärnnivå som förlitar sig på en app som är fångad i smuts ofta inte till stor nytta på egen hand mot iPhone- eller iPad-användare, eftersom Apples strikta App Store-regler för "walled garden" gör det svårt för angripare att lura dig att installera en oseriös app för det första.

Du kan inte gå från marknaden och installera appar från en sekundär eller inofficiell källa, även om du vill, så skurkar måste smyga in sin oseriösa app till App Store först innan de kan försöka övertala dig att installera den.

Men när angripare kan kombinera en avlägsen webbläsar-busting bugg med ett lokalt kärn-busting hål, kan de kringgå App Store-problemet helt.

Det är tydligen situationen här, där den första buggen (CVE-2023-28205) tillåter angripare att ta över din telefons webbläsarapp på distans...

…vid vilken tidpunkt de har en app som är fångad i smuts som de kan använda för att utnyttja den andra buggen (CVE-2023-28206) för att ta över hela din enhet.

Och kom ihåg att eftersom alla App Store-appar med webbvisningsfunktioner krävs för att använda WebKit, påverkar CVE-2023-28205-felet dig även om du har installerat en webbläsare från tredje part att använda istället för Safari.

Rapporterad i det vilda av aktivister

Det oroande med båda buggarna är inte bara att de är nolldagarshål, vilket betyder att angriparna hittade dem och redan använde dem innan några patchar upptäcktes, utan också att de rapporterades av "Clément Lecigne från Googles Threat Analysis Group och Donncha Ó Cearbhaill från Amnesty Internationals säkerhetslaboratorium".

Apple ger inte mer detaljer än så, men det är inte ett stort hopp att anta att denna bugg upptäcktes av integritets- och social rättvisa aktivister på Amnesty och undersöktes av incidentresponshanterare på Google.

Om så är fallet, talar vi nästan säkert om säkerhetshål som kan användas, och redan har använts, för att implantera spionprogram.

Även om detta tyder på en riktad attack, och därmed att de flesta av oss sannolikt inte kommer att vara i ändan av den, innebär det ändå att dessa buggar fungerar effektivt i verkliga livet mot intet ont anande offer.

Enkelt uttryckt bör du anta att dessa sårbarheter representerar en tydlig och aktuell fara, och inte bara är proof-of-concept-hål eller teoretiska risker.

Vad göra?

Uppdatera nu!

Du kanske redan har erbjudits uppdateringen av Apple; om du inte har varit, eller om du erbjöds det men tackade nej tills vidare, föreslår vi att du tvingar fram en uppdateringskontroll så snart du kan.

Uppdateringarna att ta tag i är:

• HT213722: Safari 16.4.1. Detta täcker CVE-2023-28205 (endast WebKit-buggen) för Mac-datorer som kör Big Sur och Monterey. Patchen är inte paketerad som en ny version av själva operativsystemet, så ditt macOS-versionsnummer kommer inte att ändras.
• HT213721: macOS Ventura 13.3.1. Detta täcker båda buggarna för den senaste macOS-versionen och inkluderar Safari-uppdateringen som har levererats separat för användare av äldre Mac-datorer.
• HT213720: iOS 16.4.1 och iPadOS 16.4.1. Detta täcker både buggar för iPhone 8 och senare, iPad Pro (alla modeller), iPad Air 3:e generationen och senare, iPad 5:e generationen och senare, och iPad mini 5:e generationen och senare.

Om du fortfarande använder iOS 15 eller iPadOS 15, titta på det här utrymmet (eller håll ögonen på Apples HT201222 säkerhetsportal) om det skulle visa sig att du också behöver en uppdatering.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• Platoblockchain. Web3 Metaverse Intelligence. Kunskap förstärkt. Tillgång här.
• Källa: https://nakedsecurity.sophos.com/2023/04/08/apple-issues-emergency-patches-for-spyware-style-0-day-exploits-update-now/