Apple, tehdit aktörlerinin Mac'leri ve Apple Watch cihazlarını hedefleyen saldırılarda kullanabileceği sıfır gün güvenlik açığını ele almak için güvenlik güncellemeleri yayınladı.
Sıfır günler, yazılım satıcısının farkında olmadığı ve henüz yamalı olmadığı güvenlik kusurlarıdır. Bazı durumlarda, bu tür bir güvenlik açığı, bir yama gelmeden veya vahşi doğada aktif olarak sömürülmeden önce kamuya açık kavram kanıtı da olabilir.
Pazartesi günü yayınlanan güvenlik tavsiyelerinde Apple, bu güvenlik hatasının "aktif olarak kullanılmış olabileceğinin" raporlarının farkında olduklarını açıkladı.
Kusur, uygulamaların çekirdek ayrıcalıkları ile keyfi kod yürütmesine izin veren AppleAvD'de (ses ve video kod çözme için bir çekirdek uzantısı) sınır dışı bir yazma sorunudur (CVE-2022-22675).
Hata anonim araştırmacılar tarafından bildirildi ve MacOS Big Sur 11.6, Watchos 8.6 ve TVOS 15.5'te Apple tarafından düzeltildi.
Etkilenen cihazların listesi arasında Apple Watch Serisi 3 veya geç, MacOS Big Sur, Apple TV 4K, Apple TV 4K (2. nesil) ve Apple TV HD'yi çalıştıran Mac'leri içerir.
Apple, vahşi doğada aktif sömürü raporlarını açıklarken, bu saldırılarla ilgili ekstra bilgi yayınlamadı.
Bilgileri stopaj yaparak şirket, saldırganların sıfır günün ayrıntılarını almadan ve diğer saldırılarda istismarları dağıtmaya başlamadan önce güvenlik güncellemelerinin mümkün olduğunca çok Apple saatlerine ve Mac'lere ulaşmasına izin vermeyi hedefliyor.
Bu sıfır günü büyük olasılıkla sadece hedeflenen saldırılarda kullanılmış olsa da, bugünün macOS ve Watchos güvenlik güncellemelerini, saldırı denemelerini engellemek için mümkün olan en kısa sürede yüklemeniz şiddetle tavsiye edilmektedir.
Ocak ayında Apple, saldırganların çekirdek ayrıcalıklarıyla (CVE-2022-22587) keyfi kod yürütülmesine izin vermek için vahşi doğada sömürülen iki sıfır gün daha yamaladı ve web tarama etkinliğini ve kullanıcı kimliklerini gerçek zamanlı olarak izledi (CVE-2022-22594) .
Bir ay sonra Apple, iPhone'ları, iPad'leri ve Mac'leri hacklemek için kullanılmış yeni bir sıfır gün hatası (CVE-2022-22620) yama yapmak için güvenlik güncellemeleri yayınladı, bu da uzlaşmış Apple cihazlarında işletim sistemi çökmelerine ve uzaktan kod yürütülmesine yol açtı.
Mart ayında, Intel Graphics sürücüsünde (CVE-2022-22674) ve AppleAvd Medya Decoder'da (CVE-2022-22675) iki aktif olarak sömürülen sıfır gün, ikincisi de bugün MacOS'un eski sürümlerinde Watchos 8.6'da geri döndü. ve TVOS 15.5'te.
Bu beş sıfır günü iPhone'u (iPhone 6 ve üstü), MacS MacOS Monterey'i ve birden fazla iPad modelini çalıştırıyor.
Geçen yıl boyunca, şirket ayrıca iOS, iPados ve macOS cihazlarını hedeflemek için vahşi doğada sömürülen uzun bir sıfır gün listesini düzenledi.
Apple Acil Durum Güncellemesi, iPhone'ları, Mac'leri hacklemek için kullanılan sıfır günleri düzeltiyor
Bu yenilenmiş Mac'ler test, rahatlatıcı ve deneme için
Google Chrome Acil Durum Güncellemesi Saldırılarda Kullanılan Sıfır Gününü Düzeltmeler
CISA, ajanslara aktif olarak sömürülen VMware, Chrome Bugs'ı düzeltmek için sipariş verir
Bahar Yamaları Saldı Spring4shell Sıfır Gün RCE Güvenlik Açığı
Kaynak: Bleeping Computer