Apple пусна iOS 14.4 и iPadOS 14.4 на 26 януари 2021 г. с поправки за три уязвимости, за които компанията признава, че може вече да са били използвани от нападатели. Затова iOS 14.4 е от обновленията, които не бива да отлагате – засегнат е практически всеки iPhone и iPad, който е в употреба днес.
Накратко
- Две от дупките са в WebKit (CVE-2021-1870 и CVE-2021-1871) и позволяват изпълнение на код от разстояние, а третата (CVE-2021-1782) е в ядрото и дава по-високи права на зловредно приложение.
- Apple не казва кой стои зад атаките, нито дали са били насочени срещу малка група хора.
- Освен закърпванията обновлението носи по-добро разпознаване на QR кодове и предупреждение за неоригинална камера в iPhone 12.
Ядрото и WebKit: къде бяха дупките
В бюлетина за сигурността на iOS 14.4 и iPadOS 14.4 Apple описва три проблема с една и съща тревожна забележка. Първият е в ядрото на системата – състояние на надпревара (race condition), чрез което зловредно приложение може да си издейства по-високи привилегии. Apple го е поправила с подобрено заключване.
Другите два са в WebKit – браузърния двигател на Safari, който се използва и от уеб страниците, вградени в приложенията. Става дума за логически грешки, чрез които отдалечен нападател може да изпълни произволен код на устройството. Комбинацията е класическа за атаки срещу iPhone: пробив през уеб съдържание и после повишаване на правата през ядрото. Apple не потвърждава, че трите дупки са използвани заедно, но и за трите добавя едно и също изречение:
„Apple е запозната със сигнал, че този проблем може да е бил активно използван.“
Apple, бюлетин за сигурността на iOS 14.4
Какво не казва Apple
Подробностите са оскъдни. И трите проблема са докладвани от анонимен изследовател, а говорител на Apple отказва коментар извън написаното в бюлетина, съобщава TechCrunch. Не е ясно кой е използвал уязвимостите, кои са жертвите и дали атаката е била насочена срещу малка група потребители, или е била по-широка. Apple обещава повече информация „скоро“, без да уточнява кога.
Самото признание обаче е показателно. По правило Apple не обсъжда проблеми със сигурността, докато не излязат поправките, а формулировката „може да е бил активно използван“ се появява рядко. Месец по-рано изследователи от Citizen Lab бяха показали, че iPhone на десетки журналисти са хакнати чрез неизвестна дотогава уязвимост и шпионски софтуер на израелската NSO Group – TechCrunch припомня случая, без да го свързва пряко с новите дупки.
Кои iPhone и iPad трябва да се обновят
Поправките са за iPhone 6s и по-нови модели, всички iPad Pro, iPad Air 2 и по-нови, iPad от 5-о поколение нататък, iPad mini 4 и по-нови, както и iPod touch от 7-о поколение. С други думи – за всеки iPhone, който може да получи iOS 14. В същия ден Apple пусна и watchOS 7.3 и tvOS 14.4, така че собствениците на Apple Watch и Apple TV също трябва да проверят за нова версия.
Предупреждение стигна и до клиенти в България. УниКредит Булбанк разпрати имейл, в който посочва трите уязвимости и предупреждава, че устройствата с версия на iOS, по-стара от 14.4, са изложени на риск от отдалечен достъп, отдалечено управление и изтичане на лични и служебни данни, по информация на СмартМакс от писмото. Това е оценката на банката – самата Apple говори по-сдържано за „изпълнение на произволен код“ и „повишаване на привилегии“.
Какво още носи iOS 14.4
Обновлението не е само „закърпване“. Според MacRumors сред по-видимите промени са:
- камерата разпознава по-малки QR кодове от преди;
- iPhone 12, 12 mini, 12 Pro и 12 Pro Max показват известие, ако системата не може да потвърди, че камерата е нова оригинална част на Apple – на практика това се случва след ремонт;
- в настройките на Bluetooth можете да посочите вида на свързаното аудиоустройство – слушалки, високоговорител, уредба в колата или слухов апарат, за да се измерва правилно нивото на звука в слушалките;
- iPhone 11 и iPhone 12 с чипа U1 получават по-нагледно прехвърляне на музика към HomePod mini, ако и колонката е обновена до 14.4.
В списъка с поправени грешки са и артефакти в HDR снимките от iPhone 12 Pro, забавяне при писане с клавиатурата и липсващи предложения за думи.
Как да инсталирате обновлението
- Направете резервно копие в iCloud или на компютър.
- Свържете iPhone или iPad към Wi-Fi и към зарядно.
- Отворете Настройки → Общи → Актуализация на софтуера и изберете Изтегли и инсталирай.
Нашата оценка
Обикновено малките версии на iOS могат да почакат няколко дни, докато се види дали не носят нови бъгове. С iOS 14.4 логиката е обратната: когато самата Apple пише, че дупките може вече да се използват, рискът от отлагане е по-голям от риска от обновяване. Най-важни са WebKit поправките, защото до уязвим код може да се стигне просто с отваряне на уеб страница.
Как се стигна до iOS 14, вижте в материала ни за излизането на iOS 14 и iPadOS 14, а за защитите на поверителността в системата – в статията за това как iOS 14 хвана TikTok и LinkedIn да четат клипборда. Повече за камерите на новите модели има в представянето на iPhone 12 Pro и Pro Max. Всички новини за Apple събираме в рубриката Apple.
Тази статия е публикувана първоначално в СмартМакс на 29 януари 2021 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
.jpg){kind=link}
