Apple reaktiviert alte iPhone- und iPad-Patches, um Coruna-Betriebskit zu stoppen

Apple hat Tab verschoben, um ältere iPhone- und iPad-Modelle nach dem Erkennen eines Betriebssystems zu schützen, das die Vorteile von WebKit-Engine-Fehlern nutzte. Das Unternehmen hat bereits in den letzten Versionen des Betriebssystems vorhandene Korrekturen eingeführt. und hat sie in Updates für Geräte verpackt, die die neueste Version von iOS nicht installieren können.

Das Hauptversagen, das mit dieser Runde von Patches verbunden ist, erscheint in der Sicherheitsdatenbank als CVE-2023-43010, und es wird als eine Schwäche in WebKit beschrieben, die Speicher Korruption verursachen könnte, indem Webinhalte für schädliche Zwecke manipuliert verarbeitet. Laut Apple geht die Lösung durch ein besseres internes Motormanagement, das verhindert, dass speziell gestaltete Seiten oder Skripte dieses unerwünschte Verhalten auslösen.

Zunächst wurde die Korrektur für dieses Problem in relativ neuen Versionen veröffentlicht - darunter iOS 17.2, iPadOS 17.2 und macOS Sonoma 14.2 - und wurde nun "Backcover" zu früheren Zweigen des Systems, um Terminals zu erreichen, die nicht mehr auf die neuesten Ausgaben aktualisiert werden können. Apple hat diese Patches auf seinen offiziellen Support-Seiten beispielsweise in den Notizen von iOS 17.2 und iPadOS 17.2, macOS Sonoma 14.2 und Safari 17.2 sowie in bestimmten Hinweisen für ältere Versionen iOS 15.8.7 und iPadOS 15.8.7 und iOS 16.7.15 und iPadOS 16.7.15.

Das Update, das iOS 15.8.7 und iPadOS 15.8.7 betrifft, ist nicht auf CVE-2023-43010 beschränkt: es enthält Patches für mehrere zusätzliche Schwachstellen, die im gleichen Angriffsrahmen ausgenutzt wurden. Dazu gehören: CVE-2023-43000, beschrieben als "use-after-free" auf WebKit; CVE-2023-41974, ein nutzungs-nach-freies Problem im Kernel mit Potenzial zur Codeausführung mit Kernrechten; und CVE-2024-23222, eine verwirrungsähnliche Sicherheitslücke in WebKit, die willkürliche Codeausführung durch die Verarbeitung von bösartigen Webinhalten ermöglichen könnte. In der Praxis ermöglichen diese Ausfälle einem Angreifer, sie auszunutzen, Code auf dem Gerät oder Waage Privilegien auszuführen, so dass sie sehr ernste Kompromissvektoren.

All dies ist mit einer Reihe von Exploits, die als "Coruna" bekannt sind, verbunden, die Sicherheitsforscher und Reaktionsteams mit einem Kit verbunden haben, das mehrere Angriffsketten zusammenführt. Technische Berichte - die mehr als zwanzig Exploits in mehrere Ketten gruppiert beschrieben haben - zeigen, dass das Kit auf iOS-Versionen von 13.0 bis 17.2.1 ausgerichtet war. Gruppen, die Malware und Exploits überwachen, wie iVerify, haben die Verwendung von Coruna in Kampagnen dokumentiert, die einen größeren Angriffsrahmen liefern (manchmal als CryptoWaters bezeichnet), und die Ergebnisse wurden von verschiedenen Labors öffentlich analysiert.

Parallel haben sich journalistische Aussagen über den möglichen Ursprung einiger Teile des Codes ergeben. Nach diesen Informationen könnten die von Coruna verwendeten Werkzeuge und Exploits von Akteuren, die mit dem Verteidigungssektor verbunden sind, entwickelt und anschließend gefiltert oder an Vermittler verkauft werden. Die in der Berichterstattung genannten Namen enthalten einen früheren Direktor eines Vertragsnehmers, der von Transaktionen mit Sicherheitslücken verurteilt wurde; die Befugnisse in diesem Bereich sind jedoch oft komplex und es ist üblich, dass die Forscher vor der endgültigen Schlussfolgerungen um Vorsicht bitten.

Eine weitere wichtige Folge des Falles ist die Wiederverwendung von Schwachstellen: Coruna enthält Ausbeutungen, die auf Fehler hinweisen, die bereits in früheren Kampagnen beobachtet wurden, wie einige, die im Vorjahr unter dem Label "Operation Triangulation" gruppiert wurden. Sicherheitsexperten haben betont, dass der Zufall in den ausgenutzten Sicherheitslücken nicht unbedingt bedeutet, dass der Code kopiert wurde. Ein Team mit ausreichender Expertise kann verschiedene Ausbeutungen entwickeln, die auf die gleiche Schwäche hinweisen, und daher erfordert die Zuschreibung umfangreichere technische und kontextuelle Beweise als die einfache Wiederverwendung von Fehlern.

Angesichts dieses Bildes ist die Hauptnachricht für Nutzer und IT-Manager einfach: aktualisieren Sie die Software, wenn möglich und wenden Sie die Patches, die Apple für unterstützte Versionen veröffentlicht hat. Auch wenn ein Gerät die letzte Iteration des Systems nicht erhalten kann, bieten die retrokompatiblen Updates Apple eine kritische Verteidigungsschicht gegen diese Art von Bedrohung. Darüber hinaus ist es angebracht, sorgfältige Browser-Gewohnheiten zu pflegen, zu vermeiden, Links oder Dateien von zweifelhaften Ursprüngen zu öffnen und die Sicherheitseinstellungen des Browsers und Systems zu überprüfen.

Die Verbreitung von Kits wie Coruna erinnert daran, dass die Sicherheit mobiler Geräte nicht mehr nur eine Frage von Patches ist: Es ist ein Ökosystem, in dem Akteure mit unterschiedlichen Anreizen für Exploits konkurrieren, wo technische Erkenntnisse zwischen den Märkten reisen können und wo Transparenz in Forschung und Geschwindigkeit in der Minderung den Unterschied zwischen einem kontrollierten Vorfall und einer massiven Lücke markieren. Für diejenigen, die die technischen Details der korrigierten Fehler vertiefen möchten, sind Apple-Notizen und öffentliche Sicherheitsdatenbanken ein guter Ausgangspunkt und sind auf den Support-Seiten und dem mit diesem Artikel verknüpften NVD verfügbar.