Apple je nedavno predstavio ažuriranje visionOS 2.1 za svoje slušalice mješovite stvarnosti Apple Vision Pro, rješavajući mnoge kritične sigurnosne propuste koje bi mogle imati značajne implikacije na privatnost korisnika i integritet uređaja.
Ažuriranje uključuje ispravke za preko 25 sigurnosnih problema koji bi mogli dozvoliti hakerima da izvrše proizvoljan kod, pristupe osjetljivim podacima ili izazovu pad sistema.
Među najznačajnijim zakrpljenim ranjivostima je problem oštećenja memorije kernela koji bi mogao omogućiti aplikacijama da izazovu neočekivani prekid sistema ili oštećenu memoriju kernela.
Ažuriranje također rješava nekoliko ranjivosti povezanih s WebKit-om , uključujući i onu koja bi mogla dovesti do neočekivanog pada procesa prilikom obrade maliciozno kreiranog web sadržaja.
Zakrpljene ranjivosti
Ažuriranje visionOS 2.1 cilja na nekoliko ranjivosti visoke ozbiljnosti identifikovane u različitim komponentama operativnog sistema.
Jedan od ključnih problema koji se rješava je problem rukovanja putanjama koji bi mogao dozvoliti malicioznim aplikacijama da pokreću proizvoljne prečice bez pristanka korisnika, što potencijalno dovodi do neovlaštenog pristupa osjetljivim podacima. Ovo je riješeno kroz poboljšane logičke provjere (CVE-2024-44255).
Još jedna kritična ranjivost uključivala je komponentu CoreMedia Playback, gdje je maliciozna aplikacija mogla pristupiti privatnim informacijama zbog nepravilnog rukovanja simboličkim vezama. Ovaj problem je ublažen poboljšanim rukovanjem simbolskim vezama (CVE-2024-44273).
Nekoliko ranjivosti na nivou kernela je zakrpljeno, uključujući problem otkrivanja informacija koji bi mogao omogućiti aplikacijama da propuštaju osjetljiva stanja kernela. Ovo je riješeno kroz poboljšanu redakciju privatnih podataka za unose u dnevnik (CVE-2024-44239).
Dodatno, problem bez upotrebe u komponenti IOSurface, koji bi mogao uzrokovati neočekivani prekid sistema ili oštećenu memoriju kernela, popravljen je poboljšanim upravljanjem memorijom (CVE-2024-44285).
WebKit, web motor koji pokreće Safari na Apple Vision Pro, također je dobio značajna ažuriranja. Problemi kao što su oštećenje memorije i neuspjeh primjene Politike sigurnosti sadržaja (CSP) prilikom obrade malicioznog kreiranog web sadržaja riješeni su poboljšanom provjerom valjanosti unosa i provjerama (CVE-2024-44244, CVE-2024-44296).
Kako bi poboljšao privatnost korisnika, Apple je ispravio nekoliko ranjivosti povezanih s curenjem podataka. Na primjer, greška na zaključanom ekranu koja je korisnicima omogućavala pregled osjetljivih informacija je ispravljena poboljšanim redakcijom osjetljivih podataka (CVE-2024-44262).
Slično tome, problemi u Siri i sistemskim evidencijama koji bi mogli otkriti osjetljive korisničke podatke riješeni su poboljšanim mjerama redakcije i validacije (CVE-2024-44194, CVE-2024-44278).
Drugi značajni popravci
Ostali značajni popravci uključuju:
- ImageIO : Više problema u vezi sa obradom slika, uključujući čitanje izvan granica i ranjivosti uskraćivanja usluge , riješeno je poboljšanom provjerom valjanosti unosa i provjerama granica (CVE-2024-44215, CVE-2024-44297).
- Upravljana konfiguracija : Ranjivost koja je dozvoljavala malicioznim datotekama sigurnosne kopije da modifikuju zaštićene sistemske datoteke popravljena je poboljšanim rukovanjem simboličkim vezama (CVE-2024-44258).
- Safari preuzimanja : Problem koji bi mogao omogućiti napadačima da zloupotrebe odnose povjerenja za preuzimanje malicioznog sadržaja riješen je kroz poboljšano upravljanje stanjem (CVE-2024-44259).
Korisnicima Apple Vision Pro-a snažno se savjetuje da ažuriraju svoje uređaje na visionOS 2.1 što je prije moguće kako bi umanjili ove sigurnosne rizike. Ažuriranje je dostupno kroz standardni proces ažuriranja softvera.
Appleov proaktivan pristup rješavanju ovih ranjivosti naglašava posvećenost kompanije osiguravanju sigurnosti i privatnosti svojih korisnika, posebno u novim tehnologijama poput mješovite stvarnosti.
Apple je odao priznanje za doprinos nekoliko istraživača i timova sigurnosti, uključujući one iz Trend Micro Zero Day Initiative, CrowdStrike Counter Adversary Operations, i raznih pojedinačnih istraživača, za njihovu ulogu u identifikaciji i prijavljivanju ovih ranjivosti. Ovaj zajednički napor je ključan u održavanju sigurnosnog položaja Appleovog ekosistema.
Izvor: CyberSecurityNews
