Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) πρόσθεσε ένα νέο ελάττωμα στον κατάλογό που διατηρεί με τρωτά σημεία που εκμεταλλεύονται οι χάκερ. Το νέο ελάττωμα είναι ένα σφάλμα Apple WebKit remote code execution που χρησιμοποιείται για τη στόχευση των iPhones, iPads και Macs.
Δείτε επίσης: CISA: Προσθέτει 8 ευπάθειες στη λίστα με τα σφάλματα που χρησιμοποιούνται σε επιθέσεις
Σύμφωνα με τη δεσμευτική επιχειρησιακή οδηγία (BOD 22-01) που εκδόθηκε από την CISA τον Νοέμβριο, οι ομοσπονδιακές υπηρεσίες πρέπει να επιδιορθώσουν τα συστήματά τους έναντι αυτής της ευπάθειας που επηρεάζει τις συσκευές iOS, iPadOS και macOS.
Η CISA είπε ότι όλες οι υπηρεσίες των Ομοσπονδιακών Πολιτικών Εκτελεστικών Υπηρεσιών (FCEB) πρέπει να επιδιορθώσουν την ευπάθεια που αναφέρεται ως CVE-2022-22620 μέχρι τις 25 Φεβρουαρίου 2022.
Χθες, η CISA ζήτησε και από τις υπηρεσίες FCEB να επιδιορθώσουν 15 άλλες ευπάθειες με το tag ότι τελούν υπό ενεργό exploitation, με το CVE-2021-36934 — ένα σφάλμα Microsoft Windows SAM (Security Accounts Manager) που επιτρέπει την κλιμάκωση των προνομίων και την κλοπή credentials — έχει προθεσμία για την ενημέρωση κώδικα στις 24 Φεβρουαρίου.
Δείτε επίσης: CISA σε admins: Κάντε patch την μέγιστης σοβαρότητας ευπάθεια SAP
Αυτό είναι το τρίτο zero-day που διορθώνει η Apple φέτος
Το CVE-2022-22620 είναι το τρίτο zero-day που επιδιορθώνει η Apple από τις αρχές του 2022 και είναι ένα ζήτημα WebKit Use After Free που μπορεί να γίνει exploit για σφάλματα λειτουργικού συστήματος και εκτέλεση κώδικα σε ευάλωτες συσκευές.
Το επιτυχές exploitation επιτρέπει στους εισβολείς να εκτελούν αυθαίρετο κώδικα σε iPhones, iPads, και Macs μετά το άνοιγμα ιστοσελίδων που έχουν δημιουργηθεί με κακόβουλο τρόπο χρησιμοποιώντας το Safari.
Η Apple έχει αντιμετωπίσει την ευπάθεια με βελτιωμένη διαχείριση μνήμης σε iOS 15.3.1, iPadOS 15.3.1 και macOS Monterey 12.2.1.
Η πλήρης λίστα των επηρεαζόμενων συσκευών είναι αρκετά εκτενής και περιλαμβάνει iPhone 6s και μεταγενέστερα, πολλά μοντέλα iPad και Macs που τρέχουν με το macOS Monterey.
Δείτε επίσης: Η CISA προειδοποιεί για κρίσιμες ευπάθειες στην Airspan Networks Mimosa
Παρόλο που αυτό το ελάττωμα πιθανότατα χρησιμοποιήθηκε μόνο σε μικρό αριθμό στοχευμένων επιθέσεων, εξακολουθεί να συνιστάται η εγκατάσταση των ενημερώσεων το συντομότερο δυνατό για να αποκλείονται πιθανές απόπειρες επίθεσης, ακριβώς όπως προέτρεψε η CISA νωρίτερα σήμερα.
Τον Ιανουάριο, η Apple διόρθωσε και άλλα δύο zero-days που μπορούν να επιτρέψουν στους εισβολείς να παρακολουθούν τη δραστηριότητα περιήγησης και τις ταυτότητες των χρηστών σε πραγματικό χρόνο (CVE-2022-22594) και να αποκτούν αυθαίρετη εκτέλεση κώδικα με δικαιώματα kernel (CVE-2022-22587).
Πηγή πληροφοριών: bleepingcomputer.com
