Apple vá loạt lỗ hổng bao gồm lỗi zero-day trong kernel

[Ginny Hà]

Apple vừa tung bản cập nhật an ninh mới nhất. Các phiên bản macOS còn hỗ trợ (Monterey, Big Sur và Catalina) cũng như toàn bộ các thiết bị di động hiện tại (iPhone, iPad, Apple TV và Apple Watches) đều nhận được bản vá.

Ngoài ra, các lập trình viên sử dụng hệ thống phát triển Xcode của Apple cũng nhận được bản cập nhật.

Chi tiết:

• Bản vá HT213258. APPLE-SA-2022-05-16-1: cập nhật lên iOS 15.5 và iPadOS 15.5.

Các bản sửa lỗi cho iPhone và iPad bao gồm lỗi thực thi mã từ xa (RCE) trong các thành phần từ kernel đến thư viện kết xuất hình ảnh của Apple, trình điều khiển đồ họa, mô-đun xử lý video, v.v. Một số lỗi trong số này được cảnh báo rằng cho phép “ứng dụng độc hại thực thi mã tùy ý với đặc quyền kernel”.

Các lỗi đáng chú ý khác bao gồm: lỗ hổng cho phép ứng dụng giả mạo trốn tránh sandbox (chẳng hạn như truy cập các tệp mà chúng không được phép xem, sử dụng các tài nguyên như máy ảnh hoặc micrô mà chúng không nên có quyền truy cập); lỗi Safari theo dõi người dùng ngay cả trong Private Mode; và một lỗ hổng trong hệ thống con Security cho các ứng dụng độc hại lén lút vượt qua cơ chế xác minh chữ ký số của hệ điều hành.

Ngoài ra, danh sách còn có một lỗi màn hình khóa. Theo đó, một người nào đó có được iPhone của bạn có thể truy cập vào ảnh của bạn mà không cần biết mã mở khóa.

• Bản vá HT213257. APPLE-SA-2022-05-16-2: cập nhật lên macOS Monterey 12.4.

Máy Mac nhận được bản vá cho nhiều lỗi tương tự được liệt kê ở trên trong phần iPhone và iPad. Có một số "lỗi bổ sung" chỉ áp dụng cho macOS, đặc biệt là trong các thành phần laptop/desktop như AppleScript, một công cụ tự động hóa hệ thống mạnh mẽ cho phép bạn khởi chạy và điều khiển các ứng dụng, bao gồm nhập tổ hợp phím, nhấp chuột, định cấu hình các thiết bị như micro và webcam, và chụp ảnh màn hình nhanh.

Ngoài ra còn có bản vá cho CVE-2022-0778, một lỗi mật mã trong OpenSSL đã được nhóm OpenSSL vá gần hai tháng trước.

• Bản vá HT213256. APPLE-SA-2022-05-16-3: cập nhật lên macOS Big Sur 11.6.6.

Phiên bản macOS trước đó vẫn được Apple hỗ trợ, Big Sur, nhận các bản vá cho nhiều lỗi tương tự như Monterey, với việc bổ sung đáng chú ý là lỗi giải mã video cho phép những kẻ tấn công từ xa chiếm quyền kernel.
CVE-2022-22675 được gọi là zero-day. Hacker đã phát hiện lỗ hổng và đang khai thác trong thực tế.

• Bản vá HT213254. APPLE-SA-2022-05-16-6: cập nhật lên tvOS 15.5.

Giống như Big Sur (nhưng không giống như iOS, mặc dù tvOS có cùng số phiên bản với iOS), bản cập nhật tvOS mới nhất đã sửa lỗi CVE-2022-22675, lỗi RCE cấp kernel được mô tả ở trên.

• Bản vá HT213253. APPLE-SA-2022-05-16-5: cập nhật lên watchOS 8.6.

Mặc dù có số phiên bản khác nhau đáng kể so với tvOS (8.6 thay vì 15.5), người dùng Apple Watch cũng nhận được bản vá cho lỗi zero-day giải mã video CVE-2022-22675.

• Bản vá HT213255. APPLE-SA-2022-05-16-4: cập nhật cho 2022-004 Catalina

Catalina, phiên bản trước của macOS và phiên bản cũ nhất hiện được hỗ trợ, nhận được nhiều bản vá lỗi giống như Big Sur.
Tuy nhiên, CVE-202 2-22675, lỗ hổng zero-day đã được khắc phục trong Big Sur, tvOS và watchOS, dường như không xuất hiện ở đây. Chúng tôi cho rằng lỗi đã được đưa vào sau khi Catalina được phát hành, do đó, nó sẽ không bị ảnh hưởng.

• Bản vá HT213260. APPLE-SA-2022-05-16-7: cập nhật lên Safari 15.5.

Bản cập nhật này vá hai lỗi RCE có thể được kích hoạt chỉ bằng cách xem nội dung độc hại. Apple không cho biết loại nội dung nào, nhưng do lỗi nằm trong WebKit, công cụ kết xuất web, chứ không phải là một trong các thư viện đa phương tiện của Apple, chúng tôi đoán lỗi liên quan đến việc xử lý dữ liệu web cụ thể như HTML , CSS hoặc JavaScript.

Lưu ý rằng bản cập nhật này sẽ không được cung cấp cho bạn trừ khi bạn có macOS Big Sur hoặc macOS Catalina. Trong macOS Monterey và tất cả các nền tảng thiết bị di động của Apple, những bản vá này được đưa vào bản cập nhật hệ thống chính.

Do đó, đừng quên rằng nếu bạn là người dùng Big Sur hoặc Catalina, bạn sẽ cài đặt hai bản cập nhật, không chỉ một bản, với Safari được cập nhật riêng biệt với phần còn lại của hệ điều hành.

• Bản vá HT213261. Cập nhật APPLE-SA-2022-05-16-8L lên Xcode 13.4.

Các lập trình viên nên cập nhật bản vá này, đặc biệt là nếu họ sử dụng hệ thống quản lý mã nguồn phổ biến Git.
Theo báo cáo ngắn gọn về CVE-2022-24765, “trên các máy đa người dùng Git, người dùng có thể bất ngờ thấy mình trong một worktree của Git”. Điều này có vẻ do bỏ qua xác thực, như thể trong khi đăng nhập với tư cách người dùng X, bạn có thể đột nhiên nhận được quyền truy cập vào mã nguồn của người dùng Y hoặc dự án Z mà bạn không thuộc về.

Cần làm gì?

Hầu hết người dùng Apple đều bật tính năng cập nhật tự động và do đó, họ vẫn mong đợi nhận được các bản sửa lỗi mới nhất mà không cần theo dõi khi nào các bản cập nhật được tung ra.

Tuy nhiên, chúng tôi thực sự khuyên bạn nên kiểm tra các bản cập nhật theo cách thủ công bất cứ khi nào bạn biết rằng có các bản sửa lỗi được cung cấp, đặc biệt nếu có lỗi ở cấp kernel hoặc lỗi zero-day.

Trên iPhone hoặc iPad: Settings > General > Software Update
Trên Mac: Apple menu > About this Mac > Software Update…

Nguồn: Naked Security​