Apple patcht aktiv ausgenutzten Zero-Day in iOS, MacOS

  • Das Unternehmen fordert iPhone-, iPad- und Mac-Benutzer auf, Updates zu installieren, um einen kritischen Fehler in der Speicherverwaltung zu beheben, der es Angreifern ermöglichen kann, ein System zu übernehmen.

    Apple hat am Montag einen Zero-Day-Fehler gepatcht, der sowohl in iOS als auch in macOS gefunden wurde und aktiv ausgenutzt wird und es Angreifern ermöglichen kann, ein betroffenes System zu übernehmen.

    Der als CVE-2021-30807 verfolgte Memory-Corruption-Fehler wird in der IOMobileFrameBuffer-Erweiterung gefunden, die sowohl in iOS als auch in macOS existiert, aber je nach Geräteplattform behoben wurde.

    Apple hat am Montag drei Updates veröffentlicht, iOS 14.7., iPadOS 14.7.1 und macOS Big Sur 11.5.1, um die Sicherheitslücke auf jeder der Plattformen zu schließen.

    Die Ausnutzung von CVE-2021-30807 kann es Bedrohungsakteuren ermöglichen, “beliebigen Code mit Kernel-Rechten auszuführen”, so Apple in der Dokumentation zu den Updates.

    “Apple ist sich eines Berichts bewusst, dass dieses Problem aktiv ausgenutzt worden sein könnte”, sagte das Unternehmen. Apple behebt das Problem in jedem der Updates mit “verbesserter Speicherbehandlung”, sagte das Unternehmen.

    iOS-Geräte, die sofort aktualisiert werden sollten, sind: iPhone 6s und später, iPad Pro (alle Modelle), iPad Air 2 und später, iPad 5. Generation und später, iPad mini 4 und später, und iPod touch (7. Generation).

    Obwohl Apple die Entdeckung des Bugs einem “anonymen Forscher” zuschrieb, meldete sich ein Sicherheitsforscher des Microsoft Security Response Center (MSRC) am Montag separat und twitterte, dass er die Schwachstelle schon vor einiger Zeit entdeckt hatte, aber noch nicht die Zeit gefunden hatte, sie Apple zu melden.

    “Wie sich herausstellt, ist eine LPE-Schwachstelle, die ich vor 4 Monaten in IOMFB gefunden habe, nun in iOS 14.7.1 gepatcht”, schrieb Saar Amar auf Twitter und teilte einen Link zu “einigen Erkenntnissen und Details über den Fehler und einige Möglichkeiten, ihn auszunutzen.”

    In der verlinkten Dokumentation beschreibt Amar die Schwachstelle als “unkompliziert” und vorhanden “in einem Ablauf, der von der externen Methode 83 von AppleCLCD/IOMFB aufgerufen wird (das ist IOMobileFramebufferUserClient::s_displayed_fb_surface).”

    Um den Fehler auszulösen, “genügt ein einfacher Aufruf der externen Methode 83 (und wir können den UserClient zu AppleCLCD/IMOFB aus der App-Sandbox beziehen)”, schreibt Amar. Er beschreibt einen Proof of Concept Exploit im Detail in seinem Beitrag.

    Amar sagte, er habe geplant, “im August etwas zusätzliche Zeit zu finden, um daran zu arbeiten”, aber Apple veröffentlichte seine Updates, die den Fehler patchen, bevor er dazu kam.

    “Nur um das klarzustellen, ich hatte vor, diesen Fehler bei Apple einzureichen, gleich nachdem ich den Exploit fertiggestellt habe. [SIC]einreichen”, schrieb er. “Ich wollte eine qualitativ hochwertige Einreichung, aber ich hatte nicht die Zeit, im März zu investieren.”

    Während iPhone-Benutzer aktualisieren, um einen weiteren Apple-Zero-Day zu beheben, warten sie auch weiterhin darauf, dass das Unternehmen einen Fehler patcht, der ihre Geräte zur leichten Beute für Pegasus-Spyware macht. Letzte Woche sind Daten durchgesickert, die darauf hindeuten, dass die berüchtigte Pegasus Mobile Spyware der israelischen NSO Group einen Zero-Click Zero-Day in Apples iMessage-Funktion ausnutzt.

    Die Nachricht und die Beweise für einen Pegasus-Spyware-Blitz lösten eine Diskussion über die Sicherheit von Apples geschlossenem Ökosystem und einen Ruf nach Verantwortlichkeit und möglichen Änderungen am Sicherheitsmodell des Unternehmens aus.[Blocked Image: https://media.threatpost.com/wp-content/uploads/sites/103/2021/07/27093135/threatpost-webinar-300x51.jpg]Machen Sie sich Sorgen, woher der nächste Angriff kommen könnte? Wir halten Ihnen den Rücken frei. Melden Sie sich JETZT für unser kommendes Live-Webinar “How to Think Like a Threat Actor” in Zusammenarbeit mit Uptycs am 17. August um 11 Uhr EST an und erfahren Sie, wo genau Angreifer es auf Sie abgesehen haben und wie Sie dort zuerst ankommen. Begleiten Sie die Moderatorin Becky Bracken und die Uptycs-Forscher Amit Malik und Ashwin Vamshi am 17. August um 11 Uhr EST bei dieser LIVE-Diskussion.

    Einige Teile dieses Artikels stammen aus:
    threatpost.com