Odmah instalirajte: Apple objavio zakrpu koja onemogućava špijunski softver

Apple je objavio hitnu i neplaniranu zakrpu za svoje glavne operativne sisteme: iOS, iPadOS, macOS i watchOS, kako bi onemogućio iskorišćavanje nedavno otkrivene ranjivosti u njima. Prema dokumentima, objavljenima uz zakrpe, radi se o propustima koji su omogućavali izvršavanje naredbi na daljinu, tj. preuzimanje kontrole nad određenim funkcijama uređaja, i to bez potrebe za korisničkom interakcijom.

Ovaj "zero click" pristup mogao je biti upotrebljen za instaliranje zloglasnog špijunskog alata Pegasus, koji je razvila izraelska NSO Grupa i koji se često koristi za prisluškivanje. Apple je već u nekoliko navrata "krpio svoje operativne sisteme, pa je u iOS čak ugradio i "Lockdown Mode" kako bi moglo da se spreči infiltriranje tog softvera na uređaje.

Otkriveni "u divljini" prošle nedelje

Nove zakrpe ispravljaju dva bezbednosna propusta. Prvi se nalazi u frameworku Image I/O, odnosno u sistemu za manipulisanje fotografiskim datotekama. Otkriveno je da taj sistem omogućava izvršavanje naredbi na daljinu, ako se na uređaju otvori posebno prerađena fotografija, s ugrađenim malicioznim dodatkom.

Drugi propust otkriven je u aplikaciji digitalnog novčanika, Wallet. Rezultat propusta mogao je biti isti – ako se na uređaj pošalje namenski prerađen dokument, on otvara vrata za pokretanje programskog koda na daljinu, ili instaliranje Pegasusa, koji je u stanju da načini daleko više štete. Propuste su otkrili istraživači Citizen Laba prošle nedelje, pregledom iPhonea jedne osobe, zaposlene u neimenovanoj organizaciji civilnog društva u Vašingtonu. Stručnjaci su na njemu pronašli Pegasusa, a potom uspeli da identifikuju i način njegovog instaliranja u iOS 16.6.

Kažu da se radi o ozbiljnoj ranjivosti, jer žrtvi napada uređaj može da bude kompromitovan jednostavno, slanjem fotografije ili prilogaa putem poruka (WhatsAppom ili slično) ili otvaranjem zaražene datoteke kroz Safari pregledač. Kritični propusti su katalogizovani pod brojevima CVE-2023-41064 i CVE-2023-41061 i prijavljeni su Appleu, koji je brzo objavio zakrpe za njih.

iOS 16.6.1, iPadOS 16.6.1, macOS 13.5.2 i watchOS 9.6.2 dostupni su za over-the-air nadogradnju već sada, a najtoplija preporuka je da se preuzmu i instaliraju odmah, s obzirom na to da napadači očigledno već aktivno koriste opisane bezbednosne rupe.