Apple baru saja mengeluarkan serangkaian perbaikan keamanan yang singkat dan tajam untuk Mac, iPhone, dan iPad.

Semua versi macOS yang didukung (Big Sur, Monterey, dan Ventura) memiliki tambalan yang perlu Anda instal, tetapi hanya versi seluler iOS 16 dan iPadOS 16 yang saat ini memiliki pembaruan yang tersedia.

Apple Mengeluarkan Tambalan Darurat Untuk Eksploitasi 0 Hari Bergaya Spyware – Perbarui Sekarang!

Seperti biasa, kami belum dapat memberi tahu Anda apakah pengguna iOS 15 dan iPadOS 15 dengan perangkat yang lebih lama kebal sehingga tidak memerlukan patch, berisiko dan akan mendapatkan patch dalam beberapa hari ke depan, atau berpotensi rentan tetapi akan ditinggalkan dalam cuaca dingin.

Dua bug berbeda dibahas dalam pembaruan ini; yang terpenting, kedua kerentanan tersebut dideskripsikan tidak hanya mengarah ke "eksekusi kode sewenang-wenang", tetapi juga sebagai "dieksploitasi secara aktif", menjadikannya lubang zero-day.

Retas browser Anda, lalu pwn kernel

Bugnya adalah:

• CVE-2023-28205: Lubang keamanan di WebKit, di mana hanya dengan mengunjungi situs web yang dijebak jebakan dapat memberi penjahat dunia maya kendali atas browser Anda, atau bahkan aplikasi apa pun yang menggunakan WebKit untuk merender dan menampilkan konten HTML. (WebKit adalah subsistem tampilan konten web Apple.) Banyak aplikasi menggunakan WebKit untuk menampilkan pratinjau halaman web, menampilkan teks bantuan, atau bahkan hanya untuk menghasilkan layar Tentang yang menarik. Peramban Safari milik Apple menggunakan WebKit, membuatnya langsung rentan terhadap bug WebKit. Selain itu, aturan App Store Apple berarti bahwa semua browser di iPhone dan iPad harus menggunakan WebKit, menjadikan bug semacam ini benar-benar masalah lintas-browser untuk perangkat seluler Apple.
• CVE-2023-28206: Bug pada kode tampilan IOSurfaceAccelerator Apple. Bug ini memungkinkan aplikasi lokal jebakan untuk menyuntikkan kode jahatnya sendiri langsung ke kernel sistem operasi itu sendiri. Bug eksekusi kode kernel pasti jauh lebih serius daripada bug tingkat aplikasi, karena kernel bertanggung jawab untuk mengelola keamanan seluruh sistem, termasuk izin yang dapat diperoleh aplikasi, dan seberapa bebas aplikasi dapat berbagi file dan data di antara mereka sendiri.

Ironisnya, bug tingkat kernel yang mengandalkan aplikasi booby-trapped sering tidak banyak digunakan sendiri terhadap pengguna iPhone atau iPad, karena aturan "taman berdinding" App Store yang ketat mempersulit penyerang untuk mengelabui Anda menginstal aplikasi nakal di tempat pertama.

Anda tidak dapat keluar dari pasar dan menginstal aplikasi dari sumber sekunder atau tidak resmi, bahkan jika Anda menginginkannya, jadi penjahat harus menyelundupkan aplikasi nakal mereka ke App Store terlebih dahulu sebelum mereka mencoba membujuk Anda untuk menginstalnya.

Tetapi ketika penyerang dapat menggabungkan bug penghancur browser jarak jauh dengan lubang penghancur kernel lokal, mereka dapat menghindari masalah App Store sepenuhnya.

Itulah situasinya di sini, di mana bug pertama (CVE-2023-28205) memungkinkan penyerang mengambil alih aplikasi browser ponsel Anda dari jarak jauh pada saat itu, mereka memiliki aplikasi jebakan yang dapat mereka gunakan untuk mengeksploitasi bug kedua (CVE-2023-28206) untuk mengambil alih seluruh perangkat Anda.

Dan ingat bahwa karena semua aplikasi App Store dengan kemampuan tampilan web diharuskan menggunakan WebKit, bug CVE-2023-28205 memengaruhi Anda meskipun Anda telah menginstal browser pihak ketiga untuk digunakan, bukan Safari.

Dilaporkan secara liar oleh para aktivis

Hal yang mengkhawatirkan tentang kedua bug tersebut bukan hanya bahwa mereka adalah zero-day hole, yang berarti penyerang menemukannya dan telah menggunakannya sebelum tambalan ditemukan, tetapi juga dilaporkan oleh “Clément Lecigne dari Grup Analisis Ancaman Google dan Donncha Ó Cearbhaill dari Lab Keamanan Amnesty International”.

Apple tidak memberikan detail lebih dari itu, tetapi bukanlah lompatan besar untuk mengasumsikan bahwa bug ini ditemukan oleh privasi dan aktivis keadilan sosial di Amnesty, dan diselidiki oleh penangan respons insiden di Google.

Jika demikian, kita hampir pasti berbicara tentang celah keamanan yang dapat, dan telah, digunakan untuk menanamkan spyware.

Bahkan jika ini menunjukkan serangan yang ditargetkan, dan dengan demikian sebagian besar dari kita tidak mungkin menerimanya, itu tetap menyiratkan bahwa bug ini bekerja secara efektif dalam kehidupan nyata terhadap korban yang tidak menaruh curiga.

Sederhananya, Anda harus berasumsi bahwa kerentanan ini mewakili bahaya yang jelas dan nyata, dan bukan hanya lubang pembuktian konsep atau risiko teoretis.

Apa yang harus dilakukan?

Memperbarui sekarang!

Anda mungkin sudah ditawari pembaruan oleh Apple; jika Anda belum pernah, atau Anda ditawari tetapi menolaknya untuk saat ini, kami sarankan untuk memaksa pemeriksaan pembaruan sesegera mungkin.

Pembaruan untuk diperebutkan adalah:

• HT213722: Safari 16.4.1. Ini mencakup CVE-2023-28205 (hanya bug WebKit) untuk Mac yang menjalankan Big Sur dan Monterey. Tambalan tidak dikemas sebagai versi baru dari sistem operasi itu sendiri, jadi nomor versi macOS Anda tidak akan berubah.
• HT213721: macOS Ventura 13.3.1. Ini mencakup kedua bug untuk rilis macOS terbaru, dan termasuk pembaruan Safari yang telah dipaketkan secara terpisah untuk pengguna Mac lama.
• HT213720: iOS 16.4.1 dan iPadOS 16.4.1. Ini mencakup bug untuk iPhone 8 dan lebih baru, iPad Pro (semua model), iPad Air generasi ke-3 dan lebih baru, iPad generasi ke-5 dan lebih baru, dan iPad mini generasi ke-5 dan lebih baru.

Jika Anda masih menggunakan iOS 15 atau iPadOS 15, perhatikan ruang ini (atau perhatikan portal keamanan HT201222 Apple) jika ternyata Anda juga memerlukan pembaruan.

Share this post