Apple je u utorak objavio iOS 18.3.2 i iPadOS 18.3.2 sa hitnom ispravkom za WebKit ranjivost koja je već bila iskorišćena u starijim verzijama ovog mobilnog operativnog sistema.
Zero-day ranjivost, označena kao CVE-2025-24201, omogućava napadačima da izađu iz Web Content sandboxa. Kompanija iz Cupertina upozorava da je “mogla biti iskorištena u izuzetno sofisticiranom napadu na specifične korisnike na verzijama iOS-a prije iOS 17.2.”
“Ovo je dodatna ispravka za napad koji je blokiran u iOS 17.2,” saopštili su iz Apple-a u sažetoj objavi.
“Radi zaštite naših korisnika, Apple ne otkriva, ne raspravlja i ne potvrđuje bezbjednosne probleme dok se ne obavi istraga i ne budu dostupni zakrpe ili ažuriranja,” dodali su iz kompanije.
Apple je opisao ranjivost kao problem van granica pisanja (out-of-bounds write), koji je ispravljen poboljšanim provjerama kako bi se spriječile neovlaštene akcije.
Objavljivanje iOS-a 18.3.2 dolazi tačno mjesec dana nakon što je Apple zakrpio bezbjednosnu ranjivost koja je omogućavala napadačima s fizičkim pristupom zaključanom iPhone-u ili iPad-u da onemoguće USB Restricted Mode – ključni zaštitni mehanizam.
U tom slučaju, kompanija je navela da je ranjivost dovela do “izuzetno sofisticiranog napada na specifične ciljne korisnike.” Otkrivanje eksploita pripisano je Billu Marczaku iz Citizen Lab-a pri Munk školi Univerziteta u Torontu, što sugeriše da je eksploatacija korištena za nadzor na nivou država.
USB Restricted Mode je bezbjednosna funkcija dizajnirana da blokira pristup podacima preko Lightning/USB-C porta iPhone-a ili iPad-a kada je uređaj zaključan duže od sat vremena. Ova funkcija je uvedena kako bi se spriječilo korišćenje hakerskih alata koji se povezuju putem USB-a radi probijanja šifre uređaja ili izvlačenja podataka.
Izvor: SecurityWeek