CISA har tilføjet Apples CVE-2024-27834 til deres katalog over kendte udnyttede sårbarheder (KEV) efter rapporter om aktiv udnyttelse. Fejlen er en omgåelse af pointer-godkendelse, og angrebene bruger efter sigende denne til at levere malware, der stjæler information. Den vigtige detalje er, at Apple allerede har rettet denne fejl i 2024. Hvis dine enheder er opdaterede, er den praktiske risiko lav. Hvis de ikke er, er installation af Apple CVE-2024-27834 info-stjæler-opdateringen det enkelt mest nyttige, du kan gøre i dag.
Hvad CISA siger om CVE-2024-27834
CISA's KEV-katalog er en liste over sårbarheder, der vides at være udnyttet i reelle angreb. Poster signalerer, at en fejl er flyttet fra teoretisk risiko til aktiv trussel, hvilket er grunden til, at agenturet bruger listen til at presse organisationer til at patche hurtigt. Tilføjelsen af CVE-2024-27834 følger rapporter om angreb, der leverer info-stjælende malware.
Fejlen er en omgåelse af pointer-godkendelse. Pointer-godkendelse er en beskyttelse, der gør det sværere for angribere at manipulere, hvordan kode kører i hukommelsen, så en omgåelse svækker et lag af forsvar. Ifølge National Vulnerability Database har Apple løst problemet med forbedrede kontroller. Apples Safari 17.5-sikkerhedsnoter angiver fejlen som et WebKit-problem og krediterer Manfred Paul, som arbejder med Trend Micros Zero Day Initiative. NVD-posten er dateret 14. maj 2024 og angiver rettelser i Safari 17.5, iOS 16.7.8 og iPadOS 16.7.8 samt iOS 17.5 og iPadOS 17.5, blandt andre udgivelser.
Kort sagt er dette ikke et helt nyt hul. Det er et ældre, patchet et, som angribere stadig finder nyttigt.
Hvad info-stjælere tager, og hvorfor patchede fejl stadig udnyttes
Info-stjælere er malware bygget til lydløst at indsamle data fra en inficeret enhed og sende det til angriberen. Afhængigt af varianten omfatter målene typisk gemte adgangskoder, browserdata og sessionsinformation. Kildeartiklen beskriver ikke præcist, hvad denne kampagne tager, så betragt det som en generel beskrivelse af malware-kategorien snarere end et fund om dette specifikke angreb.
Hvorfor skulle angribere besvære sig med en fejl, der blev rettet for længe siden? Fordi patchning er ujævn. Ældre telefoner, tablets og Macs forbliver uopdaterede i måneder eller år, enten fordi folk udsætter prompter, enheder deles, eller hardware ikke længere kører den nyeste software. Angribere ved, at en rettelse, der er tilgængelig, ikke er det samme som en rettelse, der er installeret. Et kendt, pålideligt exploit mod upatchede enheder er billigere end at udvikle et nyt.
Dette mønster er velkendt i hele branchen. Betroet software og betroede opdateringsvaner er den egentlige slagmark, som vi så, da en zero-day forvandlede et koreansk bank-sikkerhedsværktøj til et våben. Software, som folk er afhængige af for sikkerhed, kan blive vejen ind, når den ikke holdes under kontrol.
Sådan beskytter du din iPhone og iPad nu: Apple CVE-2024-27834 info-stjæler-opdateringen
Rettelsen er ligetil, og det tager et par minutter.
- Åbn Indstillinger, derefter Generelt, derefter Softwareopdatering. Installer det, der tilbydes. At flytte til den nyeste udgivelse, der er tilgængelig for din enhed, er bedre end at stoppe ved den minimumsversion, der rettede denne fejl, da senere opdateringer indeholder andre sikkerhedsrettelser.
- Slå automatiske opdateringer til. I samme menu skal du aktivere automatisk installation, så fremtidige patches ankommer, uden at du skal huske det.
- Opdater også Safari og din Mac. NVD-posten angiver Safari og macOS blandt de berørte produkter, så tjek Systemindstillinger på enhver Mac, du bruger.
- Tjek ældre enheder. Hvis en iPhone eller iPad ikke længere kan modtage den nyeste hovedversion, skal du se, om den har en sikkerhedsopdatering til sin egen version. Apple udgav iOS 16.7.8 og iPadOS 16.7.8 til ældre hardware. Hvis en enhed ikke modtager flere opdateringer, bør du overveje at tage den ud af følsomme opgaver som bankforretning.
Hvor en VPN hjælper, og hvor den ikke gør
En VPN krypterer din trafik mellem din enhed og VPN-serveren og skjuler din IP-adresse fra de websteder, du besøger. Det er nyttigt på offentligt Wi-Fi og for generelt privatliv. Det er ikke en patch.
Denne fejl ligger i, hvordan Apples software håndterer kode på din enhed. En VPN reparerer ikke det, og den stopper ikke malware, der allerede kører, fra at læse data, der er gemt lokalt. Hvis en info-stjæler lander på en upatchet enhed, vil den tunnel, din trafik rejser gennem, ikke forhindre den i at indsamle, hvad der er på enheden. Nogle VPN-apps inkluderer valgfri link- eller malware-blokering, men disse funktioner varierer og bør ikke erstatte opdatering.
Tænk på en VPN som et lag af privatliv og en softwareopdatering som det lag, der faktisk lukker denne specifikke dør.
Hvad det betyder for dig
Hvis dine Apple-enheder er fuldt opdaterede, er du beskyttet mod denne specifikke fejl, og CISA's liste er mest en påmindelse. Hvis du har ignoreret opdateringsprompter, er dette en god grund til at stoppe. Den vigtigere lektie handler om stjålne legitimationsoplysninger. Info-stjælere er farlige, fordi de data, de tager, kan genbruges på andre konti, så god kontohygiejne begrænser skaden, selv hvis noget slipper igennem.
Vigtige pointer
- Opdater i dag. Installer de nyeste iOS-, iPadOS-, macOS- og Safari-opdateringer, og aktivér automatiske opdateringer. Dette er det centrale Apple CVE-2024-27834 info-stjæler-opdateringstrin.
- Brug unikke adgangskoder til hver konto, ideelt set via en adgangskodeadministrator, så ét stjålet login ikke låser op for andre.
- Slå to-faktor-godkendelse til, hvor det tilbydes, især for e-mail, bank og din Apple-konto.
- Stol ikke på en VPN til at rette en softwarefejl. Behold den til det, den gør godt, som at beskytte trafik på utroværdige netværk.
- Vær skeptisk over for betroede værktøjer. Vores gennemgang af AnySign4PC zero-day er endnu et eksempel på velkendt software, der bliver en angrebsvektor.
Tjek dine Apple-enheder nu, installer ventende opdateringer, og brug ti minutter på at gennemgå din kontosikkerhed. Det er den mest effektive respons på CISA's advarsel.
