CISA je dodala Appleovu CVE-2024-27834 u svoj katalog poznatih iskorištenih ranjivosti (KEV) nakon izvješća o aktivnom iskorištavanju. Rana je zaobilaznica autentifikacije pokazivača, a napadi je navodno koriste za dostavu zlonamjernog softvera koji krade informacije. Važan detalj je da je Apple već ispravio ovu grešku 2024. Ako su vaši uređaji ažurni, praktični rizik je nizak. Ako nisu, instaliranje Appleove ažurne zakrpe za CVE-2024-27834 za info-kradljivce najkorisnija je stvar koju danas možete učiniti.

Što CISA kaže o CVE-2024-27834

CISA-in KEV katalog popis je ranjivosti za koje se zna da se iskorištavaju u stvarnim napadima. Unosi signaliziraju da je ranjivost prešla iz teorijskog rizika u aktivnu prijetnju, zbog čega agencija koristi popis kako bi potaknula organizacije na brzo zakrpanje. Dodavanje CVE-2024-27834 slijedi nakon izvješća o napadima koji dostavljaju zlonamjerni softver koji krade informacije.

Greška je zaobilaznica autentifikacije pokazivača. Autentifikacija pokazivača zaštita je koja napadačima otežava neovlašteno mijenjanje načina na koji se kod izvršava u memoriji, pa zaobilaznica slabi jedan sloj obrane. Prema Nacionalnoj bazi podataka o ranjivostima (NVD), Apple je riješio problem poboljšanim provjerama. Appleove sigurnosne bilješke za Safari 17.5 navode grešku kao problem u WebKitu i pripisuju je Manfred Paulu, u suradnji s Trend Microvom inicijativom Zero Day. NVD unos datira od 14. svibnja 2024. i navodi ispravke u Safariju 17.5, iOS-u 16.7.8 i iPadOS-u 16.7.8 te iOS-u 17.5 i iPadOS-u 17.5, između ostalih izdanja.

Ukratko, ovo nije potpuno nova rupa. To je starija, zakrpana rupa koju napadači još uvijek smatraju korisnom.

Što info-kradljivci uzimaju i zašto se zakrpane greške još uvijek iskorištavaju

Info-kradljivci su zlonamjerni softver izgrađen da tiho prikuplja podatke s inficiranog uređaja i šalje ih napadaču. Ovisno o varijanti, mete obično uključuju spremljene lozinke, podatke preglednika i informacije o sesiji. Izvorni članak ne detaljizira što točno ova kampanja uzima, pa to shvatite kao opći opis kategorije zlonamjernog softvera, a ne kao nalaz o ovom konkretnom napadu.

Zašto bi se napadači zamarali greškom koja je odavno ispravljena? Zato što je zakrpanje neujednačeno. Stariji telefoni, tableti i Macovi ostaju neažurirani mjesecima ili godinama, bilo zato što ljudi odgađaju upute, uređaji su dijeljeni ili hardver više ne pokreće najnoviji softver. Napadači znaju da dostupna zakrpa nije isto što i instalirana zakrpa. Poznat, pouzdan exploit protiv nezakrpanih uređaja jeftiniji je od razvoja novog.

Ovaj je obrazac poznat u cijeloj industriji. Pouzdan softver i pouzdane navike ažuriranja pravo su bojno polje, kao što smo vidjeli kada je zero-day pretvorio korejski bankovni sigurnosni alat u oružje. Softver na koji se ljudi oslanjaju radi sigurnosti može postati način upada kada se ne drži pod kontrolom.

Kako sada zaštititi svoj iPhone i iPad: Appleova ažurna zakrpa za CVE-2024-27834 za info-kradljivce

Ispravak je jednostavan i traje nekoliko minuta.

  1. Otvorite Postavke, zatim Općenito, zatim Ažuriranje softvera. Instalirajte što god se ponudi. Prelazak na najnovije izdanje dostupno za vaš uređaj bolji je od zaustavljanja na minimalnoj verziji koja je ispravila ovu grešku, jer kasnija ažuriranja nose druge sigurnosne ispravke.
  2. Uključite automatska ažuriranja. U istom izborniku omogućite automatsku instalaciju kako bi buduće zakrpe stizale bez toga da ih se morate sjećati.
  3. Ažurirajte i Safari i svoj Mac. NVD unos navodi Safari i macOS među pogođenim proizvodima, pa provjerite Postavke sustava na svakom Macu koji koristite.
  4. Provjerite starije uređaje. Ako iPhone ili iPad više ne može primiti najnoviju glavnu verziju, provjerite ima li sigurnosno ažuriranje za vlastitu verziju. Apple je izdao iOS 16.7.8 i iPadOS 16.7.8 za stariji hardver. Ako uređaj više ne prima ažuriranja, razmislite o njegovom povlačenju s osjetljivih zadataka poput bankarstva.

Gdje VPN pomaže, a gdje ne

VPN šifrira vaš promet između vašeg uređaja i VPN poslužitelja i skriva vašu IP adresu od stranica koje posjećujete. To je korisno na javnom Wi-Fi-ju i za opću privatnost. To nije zakrpa.

Ova greška leži u načinu na koji Appleov softver rukuje kodom na vašem uređaju. VPN to ne popravlja i ne zaustavlja zlonamjerni softver koji već radi da čita podatke pohranjene lokalno. Ako info-kradljivac sleti na nezakrpani uređaj, tunel kroz koji vaš promet prolazi neće ga spriječiti da prikupi ono što je na uređaju. Neke VPN aplikacije uključuju opcionalno blokiranje poveznica ili zlonamjernog softvera, ali te se značajke razlikuju i ne bi trebale zamijeniti ažuriranje.

Zamislite VPN kao jedan sloj privatnosti, a ažuriranje softvera kao sloj koji zapravo zatvara ova konkretna vrata.

Što to znači za vas

Ako su vaši Appleovi uređaji potpuno ažurirani, zaštićeni ste od ove konkretne greške, a CISA-in popis uglavnom je podsjetnik. Ako ste ignorirali upute za ažuriranje, ovo je dobar razlog da prestanete. Važnija lekcija odnosi se na ukradene vjerodajnice. Info-kradljivci su opasni jer se podaci koje uzmu mogu ponovno upotrijebiti na drugim računima, pa snažna higijena računa ograničava štetu čak i ako nešto prođe.

Ključni zaključci

  • Ažurirajte danas. Instalirajte najnovija ažuriranja za iOS, iPadOS, macOS i Safari i omogućite automatska ažuriranja. To je ključni korak Appleove ažurne zakrpe za CVE-2024-27834 za info-kradljivce.
  • Koristite jedinstvene lozinke za svaki račun, idealno putem upravitelja lozinkama, kako jedna ukradena prijava ne bi otključala ostale.
  • Uključite dvofaktorsku autentifikaciju gdje god se nudi, posebno za e-poštu, bankarstvo i vaš Apple račun.
  • Ne oslanjajte se na VPN da popravi softversku grešku. Zadržite ga za ono u čemu je dobar, poput zaštite prometa na nepouzdanim mrežama.
  • Budite skeptični prema pouzdanim alatima. Naš pregled AnySign4PC zero-dayja još je jedan primjer poznatog softvera koji postaje vektor napada.

Provjerite svoje Appleove uređaje sada, instalirajte ažuriranja koja čekaju i provedite deset minuta pregledavajući sigurnost svojih računa. To je najučinkovitiji odgovor na CISA-ino upozorenje.