Apple ha distribuito un pacchetto cumulativo di aggiornamenti che interessano tutti i suoi sistemi operativi: iOS, iPadOS, macOS, tvOS e watchOS.
In totale, le vulnerabilità corrette sono 37 e riguardano diverse componenti delle seguenti versioni dei sistemi operativi Apple:
- MacOS Monterey, versioni precedenti alla 12.5 (qui maggiori dettagli)
- MacOS Big Sur, versioni precedenti alla 11.6.8 (qui maggiori dettagli);
- MacOS Catalina, versioni precedenti al Security Update 2022-005 (qui maggiori dettagli);
- iOS, versioni precedenti alla 15.6 (qui maggiori dettagli);
- iPadOS, versioni precedenti alla 15.6 (qui maggiori dettagli);
- watchOS, versioni precedenti alla 8.7 (qui maggiori dettagli);
- tvOS, versioni precedenti alla 15.6 (qui maggiori dettagli);
- Safari, versioni precedenti alla 15.6 (qui maggiori dettagli).
I problemi di sicurezza sono così suddivisi:
- Arbitrary Code Execution
- Denial of Service
- Information Disclosure
- Privilege Escalation
- Security Restrictions Bypass
- Spoofing
e, secondo il CSIRT Italia, il loro impatto è grave/rosso (77,94/100), una stima effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.
Indice degli argomenti
I dettagli delle vulnerabilità negli OS Apple
La più grave delle vulnerabilità corrette con il pacchetto cumulativo di aggiornamenti rilasciato da Apple è la CVE-2022-2294.
Si tratta di una vulnerabilità di corruzione della memoria identificata nel componente WebRTC. La falla, scoperta dai ricercatori di Google già a inizio del mese di luglio, sembrerebbe essere già stata sfruttata in attacchi reali rivolti agli utenti del browser Chrome. Mancano, invece, prove di un suo sfruttamento zero-day in natura che riguardi i sistemi operativi iOS, macOS e Safari.
Gli aggiornamenti di sicurezza rilasciati da Apple correggono altre dieci vulnerabilità che, se sfruttate, potrebbero consentire l’esecuzione di codice arbitrario. In particolare, le falle di sicurezza riguardano le seguenti componenti software dei differenti sistemi operativi Apple:
- Apple Neural Engine (CVE-2022-32810, CVE-2022-32829, CVE-2022-32840);
- Audio (CVE-2022-32820);
- Driver GPU (CVE-2022-32821);
- ImageIO (CVE-2022-32802);
- IOMobileFrameBuffer (CVE-2022-26768);
- Kernel (CVE-2022-32813, CVE-2022-32815);
- WebKit (CVE-2022-32792).
Un’altra vulnerabilità, tracciata come CVE-2022-32844, consente invece di bypassare i sistemi di sicurezza del Pointer Authentication Chip (PAC) delle CPU M1 di Apple e finalizzato proprio a prevenire gli attacchi alla memoria di sistema.
Per comprendere come avviene lo sfruttamento della vulnerabilità, è utile ricordare che un pointer altro non è se non una variabile utilizzata dal firmware della CPU per conservare l’indirizzo di memoria di un’altra variabile. È evidente che, qualora venisse manipolato, potrebbe consentire di accedere ai dati presenti nella memoria stessa del sistema.
La Pointer Authentication venne quindi introdotta nel 2017 da ARM nella sua architettura a partire dalla versione 8.3 proprio per proteggere l’integrità dei chip Apple basati su questa tecnologia e successivamente adottata anche nelle nuove CPU M1 e nei chip di altri produttori tra cui Qualcomm e Samsung.
Gli aggiornamenti di sicurezza Apple correggono una vulnerabilità di tipo DoS (Denial of Service) nella componente ImageIO (CVE-2022-32785) e altre di tipo privilege escalation in AppleMobileFileIntegrity e File System Events (tracciate, rispettivamente, come CVE-2022-32819 e CVE-2022-32826).
Infine, l’ultima versione di macOS risolve cinque vulnerabilità di sicurezza nel modulo SMB che potrebbero essere potenzialmente sfruttate da un’applicazione dannosa per ottenere privilegi elevati, divulgare informazioni sensibili ed eseguire codice arbitrario con i privilegi del kernel.
Come mitigare le vulnerabilità nei dispositivi Apple
Alla luce di quanto visto, è importante procedere il prima possibile con l’aggiornamento dei sistemi operativi installati sui propri dispositivi.
In particolare, per ottenere le ultime protezioni di sicurezza si consiglia di aggiornare:
- iOS alla versione 15.6;
- iPadOS alla versione 15.6;
- macOS alle versioni Monterey 12.5, Big Sur 11.6.8 e 2022-005 Catalina;
- tvOS alla versione 15.6;
- watchOS alla versione 8.7.
