Apple heeft wederom een actief aangevallen zerodaylek in de kernel van iOS verholpen. Vorige maand kwam het techbedrijf ook al met een beveiligingsupdate voor een dergelijke kwetsbaarheid in de kernel. Via de kwetsbaarheid kan een malafide applicatie of aanvaller met toegang tot het systeem code met kernelrechten uitvoeren. Zo is het mogelijk om volledige controle over de iPhone of iPad te krijgen.

Het beveiligingslek, aangeduid als CVE-2022-42827, is op zichzelf niet voldoende om systemen op afstand over te nemen. Daarvoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in de browser. Details over de waargenomen aanvallen zijn niet door Apple gegeven. Het techbedrijf werd door een anonieme onderzoeker over het zerodaylek ingelicht.

Met iOS 16.1 en iPadOS 16 zijn in totaal twintig kwetsbaarheden opgelost. De gevaarlijkste kwetsbaarheden bevinden zich in WebKit, de door Apple ontwikkelde browser-engine. Alle browsers op iOS en iPadOS zijn verplicht om van WebKit gebruik te maken. Het verwerken van malafide webcontent door de browser maakt het mogelijk voor een aanvaller om willekeurige code op het toestel van de gebruiker uit te voeren.

Dergelijke kwetsbaarheden zijn via een drive-by download te misbruiken, waarbij het bezoeken van een gecompromitteerde of malafide website volstaat om te worden aangevallen. Verdere interactie is niet vereist. Updaten naar de nieuwste versie van iOS en iPadOS kan via de updatefunctie of iTunes. Apple heeft dit jaar al acht zerodays in de eigen producten gerepareerd.