انتشار وصله‌های امنیتی فوری توسط اپل برای اشکالات روز صفر تحت حملات فعال

اپل

اپل روز دوشنبه ۳ می ۲۰۲۱ برای رفع سه نقص روز صفر و برطرف کردن آسیب‌پذیری چهارم که به گفته این شرکت ممکن است در سطح اینترنت مورد بهره‌برداری قرار گیرد، به‌روزرسانی‌های امنیتی iOS ،macOS و watchOS را منتشر کرد[۱-۳].

این نقاط ضعف همه مربوط به WebKit است، موتور مرورگری که به Safari و سایر مرورگرهای وب شخص ثالث در iOS سرویس می‌دهد و به یک دشمن اجازه می‌دهد تا کد دلخواه را در دستگاه‌های مورد هدف اجرا کند. خلاصه‌ای از سه اشکال امنیتی به شرح زیر است:

CVE-2021-30663: یک آسیب‌پذیری سرریز عدد صحیح است که می‌تواند برای تهیه محتوای وب مخرب مورد بهره‌برداری قرار گیرد، که ممکن است منجر به اجرای کد شود. این نقص با بهبود تصدیق هویت ورودی برطرف شده است.

CVE-2021-30665: یک مسئله فساد حافظه است که می‌تواند برای تهیه محتوای وب مخرب مورد بهره‌برداری قرار گیرد، که ممکن است منجر به اجرای کد شود. این نقص با بهبود مدیریت وضعیت برطرف شده است.

CVE-2021-30666: یک آسیب‌پذیری سرریز بافر که می‌تواند برای تهیه محتوای وب مخرب مورد بهره‌برداری قرار گیرد، که ممکن است منجر به اجرای کد شود. این نقص با بهبود عملکرد حافظه برطرف شده است.

این توسعه یک هفته پس‌ازآن رخ داد که اپل iOS 14.5 و macOS Big Sur 11.3 را برای رفع یک آسیب‌پذیری ذخیره‌سازی WebKit Storage منتشر کرد. این مسئله‌ی use-after-free با نام CVE-2021-30661 پیگیری شده[۴] و توسط محقق امنیتی به نام yangkang از Qihoo 360 ATA کشف و به سازنده آیفون گزارش‌ شده است.

yangkang، همراه با zerokeeper و bianliang، اعتبار گزارش سه نقص جدید را به خود اختصاص داده‌اند.

شایان‌ذکر است که CVE-2021-30666 فقط روی دستگاه‌های قدیمی اپل مانند آیفون ۵s، آیفون ۶، آیفون ۶ پلاس، آیپد ایر، آیپد مینی ۲، آیپد مینی ۳ و آیپاد تاچ (نسل ششم) تأثیر می‌گذارد. به‌روزرسانی iOS 12.5.3 که این نقص را برطرف می‌کند[۵]، آسیب‌پذیری CVE-2021-30661 را نیز رفع می‌کند.

این شرکت اعلام کرد که از گزارش‌هایی مبنی بر اینکه “ممکن است این آسیب‌پذیری‌ها به‌طور فعال مورد بهره‌برداری قرارگرفته باشند” آگاه است اما در مورد ماهیت حملات، قربانیانی که ممکن است مورد هدف قرار گرفته باشند یا مهاجمانی که ممکن است از آن سوءاستفاده کنند، توضیحاتی ارائه نکرد.

به کاربران دستگاه‌های اپل توصیه می‌شود برای کاهش خطر این آسیب‌پذیری‌ها دستگاه‌های خود را به جدیدترین نسخه‌ها به‌روزرسانی کنند.

اپل همچنین نسخه جدیدی از Safari 14.1 را برای macOS Catalina و macOS Mojave منتشر کرده است [۶]، با این به‌روزرسانی رفع دو نقص WebKit CVE-2021-30663 و CVE-2021-30665 نیز ارائه شده است. این به‌روزرسانی یک روز پس‌ از انتشار وصله‌ها برایiOS ، macOS و watchOS ارائه شده است.