hadicanim
Aktif Üye
NSO Grup Saldırısı: iPhone, iPad, Mac ve Apple Watch için Acil Durum Güncellemeleri
Hızlı güncelleme: iOS 16.6.1, iPadOS 16.6.1, macOS 13.5.2 ve watchOS 9.6.2 Perşembe akşamından bu yana indirilebilir. iPhone, iPad, Mac ve Apple Watch’a yönelik dört güncellemenin tümü, paket ekinde yalnızca tek bir basit ifade içerir: “Bu güncelleme önemli güvenlik düzeltmeleri sağlar ve tüm kullanıcılar için önerilir.”
Reklamcılık
Dikkat: Sıfır tıklama saldırısı
Bunun tam olarak ne anlama geldiği, Apple’ın güvenlik güncellemeleri konusundaki resmi destek sayfasında bulunabilir: Burada, Apple’a göre halihazırda açıklardan yararlanılan toplam iki hata listeleniyor: “Apple bir rapordan haberdar bu sorun aktif olarak istismar edilmiş olabilir.”
Aktivistlere, gazetecilere ve politikacılara yönelik dijital casusluk saldırılarını ortaya çıkarmasıyla tanınan Toronto Üniversitesi’ndeki araştırma kuruluşu Citizen Lab’a göre delikler, Apple tarafından daha önce dava edilmiş olan tartışmalı güvenlik şirketi NSO Group tarafından kullanılıyor. Araştırmacılar bu istismar zincirine “BLASTPASS” adını veriyor. Sıfır tıklama saldırısı olarak adlandırılan, kullanıcı etkileşimi olmadan bir enfeksiyona yol açtığı söyleniyor. Citizen Lab şu ana kadar hangi kurbanların saldırıya uğradığını henüz açıklamadı.
En az iki istismar edilen güvenlik açığı
Güvenlik araştırmacılarına göre saldırı, saldırgana ait iMessage hesabından kurbana gönderilen, kötü amaçlı görüntüler içeren PassKit eklentileri aracılığıyla gerçekleştirildi. Daha detaylı teknik detaylar daha sonra verilecektir. Apple’a göre iOS 16.6 ve iPadOS 16.6 ile muhtemelen önceki sürümleri özellikle savunmasızdır. ImageIO (CVE-2023-41064) görüntü işleme rutininde, değiştirilmiş bir görüntü aracılığıyla istenmeyen kodu yürütmek için kullanılabilecek boşluklar vardır (Apple bunun hangi haklarla gerçekleştirildiğini belirtmez).
Kredi kartlarını ve trafik biletlerini yönetmeye yönelik cüzdan uygulaması da etkilendi (CVE-2023-41061), bu uygulama manipüle edilmiş bir eklenti içerebiliyordu. Bu aynı zamanda rastgele kod çalıştırılmasına da yol açar. Her iki hata da iyileştirilmiş bellek işleme (ImageIO) veya “geliştirilmiş mantık” (Wallet) yoluyla düzeltildi.
Mac ve Apple Watch
ImageIO’daki hata macOS’ta da mevcut, sürüm 13.5.2 bunu düzeltiyor. Ancak cüzdan hatası burada eksik. watchOS 9.6.2’de yalnızca cüzdan sorunu düzeltildi; ImageIO üzerinden saldırı ihtimali yok gibi görünüyor.
İlginç bir şekilde güncellemeler Apple’ın Hızlı Güvenlik Yanıtı (RSR) adı verilen yeni “hızlı güvenlik önlemleri” değil. Bunun yerine, dört güncellemenin tamamı Yazılım Güncellemesi aracılığıyla düzenli olarak dağıtılır ve tam yeniden başlatma gerektirir.
Güncelleme
09/08/2023
09:49
Saat
Saldırı potansiyelini vurgulamak için mesajın yapısı değiştirildi.
(bsc)
Haberin Sonu