CISA додала CVE-2024-27834 від Apple до свого каталогу відомих використовуваних уразливостей (KEV) після повідомлень про активну експлуатацію. Ця вада є обходом автентифікації вказівників, і, за повідомленнями, атаки використовують її для доставки шкідливого програмного забезпечення, що викрадає інформацію. Важлива деталь полягає в тому, що Apple вже виправила цю помилку у 2024 році. Якщо ваші пристрої оновлені, практичний ризик низький. Якщо ні, встановлення оновлення Apple CVE-2024-27834 проти викрадача інформації — це єдина найкорисніша річ, яку ви можете зробити сьогодні.
Що CISA каже про CVE-2024-27834
Каталог KEV від CISA — це список уразливостей, які, як відомо, експлуатуються в реальних атаках. Записи сигналізують, що вада перейшла від теоретичного ризику до активної загрози, і саме тому агенція використовує цей список, щоб спонукати організації швидко встановлювати патчі. Додавання CVE-2024-27834 відбулося після повідомлень про атаки, які доставляють шкідливе програмне забезпечення, що викрадає інформацію.
Ця помилка є обходом автентифікації вказівників. Автентифікація вказівників — це захист, який ускладнює для зловмисників втручання в те, як код виконується в пам'яті, тому обхід послаблює один рівень захисту. Згідно з Національною базою даних уразливостей, Apple усунула проблему за допомогою покращених перевірок. Примітки до безпеки Safari 17.5 від Apple вказують цю помилку як проблему WebKit і віддають належне Манфреду Паулю, який працює з ініціативою Zero Day Initiative від Trend Micro. Запис у NVD датується 14 травня 2024 року і перелічує виправлення в Safari 17.5, iOS 16.7.8 та iPadOS 16.7.8, а також iOS 17.5 та iPadOS 17.5, серед інших випусків.
Коротко кажучи, це не зовсім нова діра. Це старіша, виправлена діра, яку зловмисники досі вважають корисною.
Що забирають викрадачі інформації і чому виправлені вади досі експлуатуються
Викрадачі інформації — це шкідливе програмне забезпечення, створене для тихого збору даних з інфікованого пристрою та надсилання їх зловмиснику. Залежно від варіанту, цілями зазвичай є збережені паролі, дані браузера та інформація про сесії. У вихідній статті не деталізується, що саме забирає ця кампанія, тому сприймайте це як загальний опис категорії шкідливого програмного забезпечення, а не як висновок про цю конкретну атаку.
Чому зловмисники взагалі витрачають зусилля на ваду, виправлену давно? Тому що патчинг нерівномірний. Старіші телефони, планшети та Mac залишаються неоновленими місяцями чи роками — чи то через те, що люди відкладають запити на оновлення, чи то через спільне використання пристроїв, чи то через те, що обладнання більше не підтримує найновіше програмне забезпечення. Зловмисники знають, що наявність виправлення не означає, що виправлення встановлено. Відомий, надійний експлойт проти неоновлених пристроїв дешевший, ніж розробка нового.
Ця закономірність знайома в усій галузі. Довірене програмне забезпечення та довірені звички оновлення — це справжнє поле бою, як ми бачили, коли zero-day перетворив інструмент безпеки корейського банку на зброю. Програмне забезпечення, на яке люди покладаються заради безпеки, може стати шляхом проникнення, якщо його не тримати під контролем.
Як захистити свій iPhone та iPad зараз: оновлення Apple CVE-2024-27834 проти викрадача інформації
Виправлення просте, і це займе кілька хвилин.
- Відкрийте Налаштування, потім Загальні, потім Оновлення програмного забезпечення. Встановіть усе, що пропонується. Перехід до найновішого доступного для вашого пристрою випуску кращий, ніж зупинка на мінімальній версії, яка виправила цю помилку, оскільки пізніші оновлення містять інші виправлення безпеки.
- Увімкніть автоматичні оновлення. У тому ж меню увімкніть автоматичне встановлення, щоб майбутні патчі надходили без необхідності пам'ятати про них.
- Оновіть Safari та ваш Mac також. Запис у NVD перелічує Safari та macOS серед уражених продуктів, тому перевірте Системні налаштування на будь-якому Mac, який ви використовуєте.
- Перевірте старіші пристрої. Якщо iPhone чи iPad більше не може отримати найновішу основну версію, перевірте, чи є для нього оновлення безпеки для його власної версії. Apple випустила iOS 16.7.8 та iPadOS 16.7.8 для старішого обладнання. Якщо пристрій більше не отримує оновлень, розгляньте можливість вилучення його з чутливих задач, як-от банківські операції.
Де VPN допомагає, а де ні
VPN шифрує ваш трафік між вашим пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це корисно в публічних Wi-Fi мережах і для загальної приватності. Це не патч.
Ця вада полягає в тому, як програмне забезпечення Apple обробляє код на вашому пристрої. VPN цього не виправляє і не зупиняє шкідливе програмне забезпечення, яке вже працює, від читання даних, що зберігаються локально. Якщо викрадач інформації потрапить на неоновлений пристрій, тунель, через який проходить ваш трафік, не завадить йому збирати те, що є на пристрої. Деякі VPN-додатки включають опціональне блокування посилань або шкідливого програмного забезпечення, але ці функції різняться і не повинні замінювати оновлення.
Сприймайте VPN як один рівень приватності, а оновлення програмного забезпечення — як рівень, який насправді закриває ці конкретні двері.
Що це означає для вас
Якщо ваші пристрої Apple повністю оновлені, ви захищені від цієї конкретної вади, і внесення до списку CISA — переважно нагадування. Якщо ви ігнорували запити на оновлення, це хороша причина припинити це робити. Важливіший урок стосується викрадених облікових даних. Викрадачі інформації небезпечні тим, що дані, які вони забирають, можуть бути повторно використані в інших облікових записах, тому міцна гігієна облікових записів обмежує шкоду, навіть якщо щось прослизне.
Ключові висновки
- Оновіться сьогодні. Встановіть найновіші оновлення iOS, iPadOS, macOS та Safari і увімкніть автоматичні оновлення. Це основний крок оновлення Apple CVE-2024-27834 проти викрадача інформації.
- Використовуйте унікальні паролі для кожного облікового запису, ідеально через менеджер паролів, щоб один викрадений логін не відкривав інші.
- Увімкніть двофакторну автентифікацію скрізь, де вона пропонується, особливо для електронної пошти, банківських операцій та вашого облікового запису Apple.
- Не покладайтеся на VPN для виправлення програмної вади. Залиште його для того, що він робить добре, як-от захист трафіку в ненадійних мережах.
- Будьте скептичні щодо довірених інструментів. Наш огляд zero-day AnySign4PC — ще один приклад того, як знайоме програмне забезпечення стає вектором атаки.
Перевірте свої пристрої Apple зараз, встановіть очікувані оновлення та витратьте десять хвилин на перегляд безпеки ваших облікових записів. Це найефективніша відповідь на попередження CISA.
