Kriittisiä haavoittuvuuksia Applen tuotteissa - päivitä heti

Uusia ja kriittisiä päivityksiä Applen iOS, macOS Ventura, macOS Monterey, macOS Big sur ja iPadOS-laitteissa, sekä Safari verkkoselaimessa. Päivitykset tulee asentaa välittömästi, sillä hyväksikäyttöä on havaittu maailmalla.

Apple on korjannut menneellä viikolla aikaistetun päivitysaikataulun mukaisesti kaksi 0-päivähaavoittuvuutta (eng. zero day).

CVE-2023-28205 haitalliseksi muotoiltu verkkosisältö on mahdollistanut mielivaltaisen ohjelmistokoodin suorittamisen laitteella ilman käyttäjän hyväksyntää.

CVE-2023-28206 on mahdollistanut mielivaltaisen ohjelmistokoodin suorittamisen käyttöjärjestelmän ytimen (eng. kernel) oikeuksilla.

Haavoittuvuuden kohde

Vanhemmat kuin iOS 16.4.1 (iPhone 8 ja uudemmat)
Vanhemmat kuin iOS 15.7.5 (iPhone 6s ja 7, 1. sukupolven iPhone SE, 7. sukupolven iPod Touch)
Vanhemmat kuin iPadOS 15.7.5 (iPad Air 2, 4. sukupolven iPad mini)
Vanhemmat kuin iPadOS 16.4.1 (iPad Pro (kaikki mallit), iPad Air 3. sukupolvi tai vanhempi, iPad 5. sukupolvi tai vanhempi, iPad mini 5. sukupolvi tai vanhempi)
Vanhemmat kuin macOS Monterey 12.6.5
Vanhemmat kuin macOS Big Sur 11.7.6
Vanhemmat kuin macOS Ventura 13.3.1
Vanhemmat kuin Safari 16.4.1

Mistä on kysymys?

Voit tarkistaa oman Apple-laitteesi asetuksista päivitysten tilanteen seuraavasti: Asetukset -> Yleiset -> Ohjelmistopäivitys

Haavoittuvuudet ovat korjattu seuraavilla päivityksillä:

iOS 15.7.5
iOS 16.4.1
iPadOS 15.7.5
iPadOS 16.4.1
Safari 16.4.1
macOS Monterey 12.6.5
macOS Big Sur 11.7.6
macOS Ventura 13.3.1

Mitä voin tehdä?

https://www.cisa.gov/news-events/alerts/2023/04/10/cisa-adds-two-known-exploited-vulnerabilities-catalog
https://support.apple.com/en-us/HT213720
https://support.apple.com/en-us/HT213721
https://support.apple.com/en-us/HT213722
https://support.apple.com/en-us/HT213723
https://support.apple.com/en-us/HT213724
https://support.apple.com/en-us/HT213725

Työasemat ja loppukäyttäjäsovellukset

Työasemien ja tavallisten käyttäjien sovellusten haavoittuvuudet koskevat usein monia käyttäjiä. Kohteena voi olla esimerkiksi Windows-käyttöjärjestelmä tai tekstinkäsittelyohjelma. Ero palvelinsovellusten ja loppukäyttäjäsovellusten välillä on joskus häilyvä, esimerkiksi samaa käyttöjärjestelmää voidaan käyttää sekä palvelimessa että työasemassa.

Matkaviestinjärjestelmät

Matkaviestinjärjestelmiin luokitellaan kannettavien päätelaitteiden, kuten puhelinten ja dataliikennekorttien lisäksi matkapuhelinverkon laitteet.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman käyttäjän toimia

Ilman käyttäjän toimia tapahtuva hyökkäys kohdistuu suoraan haavoittuvuuteen ilman että järjestelmän käyttäjältä vaaditaan mitään toimia hyökkäyksen onnistumiseksi. Käyttäjän ei esimerkiksi tarvitse selailla www-sivuja tai käynnistää ohjelmaa tietokoneessa, vaan hyökkäys onnistuu ilman käyttäjän apua.

Ilman kirjautumista

Hyökkäys ei vaadi kohteena olevaan järjestelmään kirjautumista. Vastakohtana ovat sellaiset hyökkäykset, jotka vaativat käyttäjätunnuksen ja salasanan käyttöä ja esimerkiksi komentojen suorittamista järjestelmään kirjautuneena.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Suojauksen ohittaminen

Suojauksen ohittamisella tarkoitetaan sitä, että haavoittuvuutta hyväksikäyttämällä ohitetaan järjestelmän käytön rajoittamiseksi tehty suojaus esimerkiksi liikennöimällä palomuurin ohi suojattuun verkkoon.

Käyttövaltuuksien laajentaminen

Käyttövaltuuksien laajentaminen mahdollistaa järjestelmän käyttämisen esimerkiksi pääkäyttäjänä, tavallista käyttäjää laajemmin valtuuksin.

Rikollisessa käytössä

Haavoittuvuus on rikollisessa käytössä.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.