Apple heeft beveiligingsupdates uitgebracht om verschillende beveiligingsfouten aan te pakken, waaronder twee kwetsbaarheden waarvan wordt gezegd dat ze actief in het wild zijn uitgebuit.
De tekortkomingen worden hieronder opgesomd –
- CVE-2024-23225 – Een probleem met geheugenbeschadiging in Kernel dat een aanvaller met willekeurige lees- en schrijfmogelijkheden voor de kernel kan misbruiken om de bescherming van het kernelgeheugen te omzeilen
- CVE-2024-23296 – Een probleem met geheugenbeschadiging in het realtime besturingssysteem RTKit (RTOS) dat een aanvaller met willekeurige lees- en schrijfmogelijkheden voor de kernel kan misbruiken om de beveiliging van het kernelgeheugen te omzeilen
Het is momenteel niet duidelijk hoe de gebreken in het wild worden bewapend. Apple zei dat beide kwetsbaarheden zijn verholpen met verbeterde validatie in iOS 17.4, iPadOS 17.4, iOS 16.7.6 en iPadOS 16.7.6.
De updates zijn beschikbaar voor de volgende apparaten:
- iOS 16.7.6 en iPadOS 16.7.6 – iPhone 8, iPhone 8 Plus, iPhone X, iPad 5e generatie, iPad Pro 9,7-inch en iPad Pro 12,9-inch 1e generatie
- iOS 17.4 en iPadOS 17.4 – iPhone XS en hoger, iPad Pro 12,9-inch 2e generatie en hoger, iPad Pro 10,5-inch, iPad Pro 11-inch 1e generatie en hoger, iPad Air 3e generatie en hoger, iPad 6e generatie en hoger, en iPad mini 5e generatie en later
Met de nieuwste ontwikkeling heeft Apple sinds begin dit jaar in totaal drie actief geëxploiteerde zero-days in zijn software aangepakt. Eind januari 2024 werd een typeverwarringsfout in WebKit (CVE-2024-23222) gedicht die van invloed was op iOS, iPadOS, macOS, tvOS en Safari-webbrowsers en die kon resulteren in de uitvoering van willekeurige code.
Deze ontwikkeling komt op het moment dat de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) twee tekortkomingen heeft toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, en er bij federale instanties op aandringt om de noodzakelijke updates vóór 26 maart 2024 door te voeren.
De kwetsbaarheden betreffen een fout in het vrijgeven van informatie die invloed heeft op Android Pixel-apparaten (CVE-2023-21237) en een fout in het besturingssysteem van opdrachtinjectie in Sunhillo SureLine die zou kunnen resulteren in het uitvoeren van code met rootrechten (CVE-2021-36380).
Google erkende in een advies gepubliceerd in juni 2023 dat het aanwijzingen had gevonden dat “CVE-2023-21237 mogelijk onder beperkte, gerichte exploitatie staat.” Wat CVE-2021-36380 betreft, onthulde Fortinet eind vorig jaar dat een Mirai-botnet genaamd IZ1H9 de fout gebruikte om gevoelige apparaten samen te brengen in een DDoS-botnet.
