Kodėl reikėtų atnaujinti OS X ir iOS versijas

Saugumo ekspertai aptiko didelę „iOS“ ir „OS X“ saugumo spragą, kuri ištaisyta naujausiuose „OS X El Capitan 10.11.6“ ir „iOS 9.3.3“ atnaujinimuose.

Pernai metais kibernetiniu saugumu užsiimantys specialistai aptiko tai ką jie įvardino kaip „didžiausią “Android” saugumo spragą“. Ši spraga, pavadinta „Stagefright“ leido užkrėsti įrenginį paprasčiausiai į jį pasiuntus MMS žinutę, jos nereikėjo net atidaryti.

„Cisco“ ekspertai panašų pažeidžiamumą, leidžiantį prieiti prie įrenginyje išsaugotų slaptažodžių ir failų pasiunčiant užkrėstą paveikslėlio failą, aptiko ir „OS X“ bei „iOS“ operacinėse sistemose. „Cisco Talos“ aptiko saugumo spragą „Image I/O API“ esančiame TIFF atvaizdų failų apdorojimo algoritme. Specialiai sukurtas TIFF paveikslėlis aplikacijose, kurios naudoja „Image I/O API“ gali perpildyti buferį ir tokiu būdu inicijuoti nutolusiame serveryje esančio kodo paleidimą pažeidžiamose sistemose ir įrenginiuose.

Kadangi saugumo spraga aptikta „Apple API“ naudojamoje visoje eilėje aplikacijų, iš principo, piktybinio kodo paleidimas įrenginyje gali būti inicijuotas visoje eilėje aplikacijų, nuo „iMessage“ žinutės iki apsilankymo tokį TIFF paveikslėlį turinčioje interneto svetainėje. Kaip ir „Stagefright“ atveju – vartotojui daryti nieko nereikia, kad tas kodas būtų paleistas.

Išnaudojant šią saugumo spragą nereikia jokių specialių veiksmų iš įrenginio ar sistemos naudotojo pusės, nes daugelio aplikacijų nustatymuose (pvz. „Messages“) yra nurodyta apdoroti paveikslėlius vos jie yra gaunami. Kadangi ši saugumo spraga yra aptikta „OS X 10.11.5“ ir „iOS 9.3.2“ bei tikėtina yra ankstesnėse „Apple“ operacinių sistemų versijose – pažeidžiamų įrenginių skaičius yra labai didelis.

„Cisco“ neskelbė viešai apie šią saugumo spragą iki „Apple“ neišleido ją panaikinančių sistemų atnaujinimų. Ši saugumo spraga ištaisyta „OS X El Capitan 10.11.6“, „iOS 9.3.3“, „tvOS 9.2.2“ ir „watchOS 2.2.2“ operacinių sistemų atnaujinimuose. Tačiau „Apple“ dar nėra išleidusi šią saugumo spragą ištaisančių atnaujinimų skirtų „OS X Mavericks“ ir OS X Yosemite“.

Teisingumo dėlei reikia paminėti, kad „Cisco“ yra pademonstravusi šios saugumo spragos veikimo įrodymą tik „OS X“, tačiau teigė jog tai, kad „OS X“ dalinasi duomenimis su „iOS“ įrenginiais, gali reikšti kad „iOS“ įrenginiai taip pat yra pažeidžiami. Papildomai, „Cisco“ pademonstravo saugumo spragos veikimą tik pasitelkdama interneto svetainės pavyzdį ir MMS ar „Messages“ buvo paminėtos tik kaip potencialiai rizikingos aplikacijos, tačiau to praktiniais įrodymais nepagrindė.

Nors kol kas nėra informacijos, kad šis užkratas būtų kaip nors panaudotas už „Cisco“ laboratorijos ribų – ramybės dėlei, matyt, verta atnaujinti savo „Mac“ kompiuterių ir „iOS“ įrenginių sistemas į naujusias.