Lale Çorumlu

Apple, biri kamuya açıklanmış ve diğeri vahşi ortamda saldırganlar tarafından iPhone'lara ve Mac'lere girmek için kullanılan iki sıfırıncı gün güvenlik açığını gidermek için güvenlik güncellemeleri yayınladı.

Bugün ilk sıfır gün yaması (CVE-2022-22587 olarak izlenir) [ 1 ,  2 ], IOMobileFrameBuffer'da iOS, iPadOS ve macOS Monterey'i etkileyen bir bellek bozulması hatasıdır.

Bu hatanın başarılı bir şekilde kullanılması, güvenliği ihlal edilmiş cihazlarda çekirdek ayrıcalıklarıyla rastgele kod yürütülmesine yol açar.

Apple, sıfır gün hatasını açıklarken, "Apple, bu sorunun aktif olarak istismar edilmiş olabileceğine dair bir raporun farkında" dedi.

Etkilenen cihazların tam listesi şunları içerir:

• iPhone 6s ve üstü, iPad Pro (tüm modeller), iPad Air 2 ve üstü, iPad 5. nesil ve üstü, iPad mini 4 ve üstü ve iPod touch (7. nesil)
• macOS Monterey

Hata, MBition - Mercedes-Benz Innovation Lab'den anonim bir araştırmacı olan Meysam Firouzi (@R00tkitSMM) ve Siddharth Aeri (@b1n4r1b01) tarafından bulundu.

Firouzi ve Aeri, BleepingComputer'a her ikisinin de böceği bağımsız olarak bulduklarını ve tehdit aktörlerinin onu vahşi doğada istismar ettiğinden habersiz olduklarını söyledi.

İkinci sıfır gün, web sitelerinin göz atma etkinliğinizi  ve kullanıcıların kimliklerini gerçek zamanlı olarak izlemesine izin veren iOS ve iPadOS'taki bir Safari WebKit hatasıdır.

Hata ilk olarak 28 Kasım 2021'de FingerprintJS'den Martin Bajanik tarafından Apple'a açıklandı ve 14 Ocak 2022'de kamuya açıklandı. Araştırmacı hatayı açıkladıktan sonra, CVE-2022-22594 olarak atandı ve bugünkü  iOS 15.3'te düzeltildi ve iPadOS 15.3 güvenlik güncellemesi.

Bu hatalar, 2022'de Apple tarafından düzeltilen ilk sıfırıncı gün güvenlik açıklarıdır.

Bununla birlikte, Apple, 2021'de iOS ve macOS cihazlarına yönelik saldırılarda kullanılan hiç bitmeyen sıfır gün hataları akışını düzeltti.

Bu hatalar, Pegasus casus yazılımını gazetecilerin, aktivistlerin ve politikacıların iPhone'larına yüklemek için kullanılan çok sayıda sıfır gün güvenlik açığını içeriyordu. 

Kaynak: https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-exploited-to-hack-macos-ios-devices/