ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 4 Kasım’da Apple’ın WebKit tarayıcı motorundaki CVE-2024-27834 açığını istismar edilen açıklar kataloğuna (KEV) ekledi. CISA bu kataloğa yalnız gerçek saldırılarda kullanıldığına dair kanıt bulunan açıkları alıyor. Apple açığı Mayıs 2024’te yayımladığı güncellemelerle kapatmıştı.
Ne oldu
Apple’ın güvenlik notlarına göre açık WebKit bileşeninde bulunuyor. Bellek üzerinde rastgele okuma ve yazma yeteneği elde etmiş bir saldırgan, bu açıkla işaretçi doğrulama (Pointer Authentication) korumasını atlatabiliyor. Apple hatayı “denetimler iyileştirilerek giderildi” diye tanımlıyor. Açıktan yararlanmak için saldırganın bu okuma ve yazma yeteneğini önceden elde etmiş olması gerekiyor.
CVE kaydında Apple puan vermiyor. CISA’nın kayda eklediği değerlendirmede CVSS 3.1 puanı 5,5 (orta). Aynı değerlendirme açığı hatalı kimlik doğrulama (CWE-287) olarak sınıflandırıyor ve istismar durumunu “etkin” olarak gösteriyor. Açığı Trend Micro Zero Day Initiative ile çalışan Manfred Paul bildirdi.
CISA, ABD federal kurumlarına açığı kapatmaları için 18 Kasım’a kadar süre verdi. Açığın fidye yazılımı saldırılarında kullanılıp kullanılmadığı katalogda “bilinmiyor” olarak geçiyor.
Kimleri etkiler
CVE kaydına göre şu sürümlerden öncekiler etkileniyor: Safari 17.5, iOS ve iPadOS 17.5 ile 16.7.8, macOS 14.5, tvOS 17.5 ve watchOS 10.5. Apple’ın iOS 17.5 notuna göre bu güncelleme iPhone XS ve sonrası, bazı iPad Pro modelleri, iPad Air 3. nesil ve sonrası, iPad 6. nesil ve sonrası ile iPad mini 5. nesil ve sonrası için yayımlandı. Safari 17.5 güncellemesi macOS Monterey ve macOS Ventura için yayımlandı.
Üretici ne öneriyor
Apple’ın düzeltmeleri 13 Mayıs 2024’te yayımlanan bu sürümlerde yer alıyor. Apple’ın güvenlik notlarında ayrı bir geçici önlem önerilmiyor; bu nedenle açığı kapatmanın yolu cihazı bu sürümlere ya da daha yenisine güncellemek.
CISA da üreticinin talimatlarına göre önlem alınmasını, önlem yoksa ürünün kullanımının bırakılmasını istiyor.
