0
0
A Apple corrigiu uma vulnerabilidade de dia zero explorada ativamente (CVE-2023-37450) ao lançar atualizações de resposta rápida de segurança para iPhones, iPads e Macs que executam as versões mais recentes de seus sistemas operacionais.
A vulnerabilidade também foi corrigida com uma atualização de segurança regular no Safari (16.5.2), para que os usuários que executam o macOS Big Sur e o macOS Monterey também possam implementar a correção.
Sobre CVE-2023-37450
Como de costume, a Apple não diz muito sobre a vulnerabilidade corrigida.
Tudo o que sabemos é que CVE-2023-37450:
- É encontrado no WebKit, o motor de navegador usado pelo navegador Safari da Apple e todos os outros navegadores da web no iOS e iPadOS
- Ele pode ser acionado por um navegador vulnerável processando conteúdo da Web especialmente criado (malicioso)
- Pode levar à execução arbitrária de código
- O caso foi relatado por um pesquisador de segurança anônimo.
Atualizações de segurança menores
Em maio de 2023, a Apple começou a fornecer atualizações de Resposta Rápida de Segurança para proprietários de smartphones, tablets e computadores da Apple que executam as versões mais recentes do iOS, iPadOS e macOS.
“Eles oferecem melhorias de segurança importantes entre as atualizações de software – por exemplo, melhorias no navegador Safari, na pilha de estrutura do WebKit ou em outras bibliotecas críticas do sistema. Eles também podem ser usados para mitigar alguns problemas de segurança mais rapidamente, como problemas que podem ter sido explorados ou relatados como existentes”, explicou a Apple.
Quando introduzido, o recurso Resposta Rápida de Segurança foi habilitado por padrão, mas os usuários podem desabilitá-lo. Além disso, ao contrário das atualizações de segurança regulares, esses patches rápidos podem ser desinstalados pelo usuário (se criarem problemas no dispositivo).
Se você tem a opção de receber RSRs, você deve aproveitá-la. Se você não optou pela instalação automática, deve acionar o processo de atualização o mais rápido possível, já que o CVE-2023-37450 provavelmente está sendo explorado para entregar malware.
“A velocidade é importante nos negócios, especialmente quando se trata de proteger seus ativos digitais. Com suas atualizações de Resposta Rápida de Segurança, a Apple estabeleceu a referência do setor para não apenas abordar vulnerabilidades de segurança rapidamente, mas também lançar essas atualizações em milhões de dispositivos. Além disso, habilitar atualizações automáticas garante que, para a maioria dos clientes, essas atualizações de segurança sejam aplicadas sem qualquer ação do usuário final”, diz Debrup Ghosh, gerente sênior de produtos do Synopsys Software Integrity Group.
“Embora as equipes de desenvolvimento e segurança, seja na Apple ou em uma startup de software emergente, se esforcem para eliminar o maior número possível de vulnerabilidades, muitas vezes elas ainda podem ser encontradas em softwares liberados para produção. No entanto, o que realmente importa é a rapidez com que uma organização pode se mover para corrigir e remediar essas vulnerabilidades para prevenir ou mitigar explorações ativas, e as Atualizações Rápidas de Segurança da Apple parecem ser um método eficaz e eficiente para atingir esse objetivo.”
ATUALIZAÇÃO (11 de julho de 2023, 11:35 ET):
Se você está se perguntando por que você não recebeu os RSRs ou por que você não pode acionar sua instalação, é porque a Apple os retirou. MacRumors diz que a razão subjacente é porque eles “quebraram” certos sites populares (ou seja, os usuários não podiam usá-los).
Felizmente, os usuários que receberam as correções podem fazer o downgrade temporário de seus dispositivos.
ATUALIZAÇÃO (11 de julho de 2023, 13:40 ET):
A Apple atualizou as notas para os dois RSRs, confirmando que está ciente de um problema em que eles “podem impedir que alguns sites sejam exibidos corretamente”. A empresa diz que novas correções “estarão disponíveis em breve para resolver esse problema”.
FONTE: HELPNET SECURITY