Nieuws
image

Apple verhielp met recente updates meer kwetsbaarheden dan het eerst meldde

dinsdag 21 februari 2023, 17:26 door Redactie, 5 reacties

Apple heeft met recente beveiligingsupdates voor iOS en macOS meer kwetsbaarheden verholpen dan het bedrijf eerst meldde. Dat blijkt uit een update van de betreffende beveiligingsbulletins. Het gaat om macOS Ventura 13.2, iOS 16.3 en iPadOS 16.3, die op 23 januari verschenen en meerdere beveiligingslekken verhielpen.

Gisteren werden de beveiligingsbulletins met drie niet eerder gemelde kwetsbaarheden bijgewerkt. Het gaat om CVE-2023-23520, CVE-2023-23530 en CVE-2023-23531. De eerste kwetsbaarheid maakt het mogelijk voor een gebruiker om willekeurige bestanden als root te lezen. De andere twee beveiligingslekken bieden een malafide app de mogelijkheid om willekeurige code buiten de sandbox uit te voeren of dit met bepaalde rechten te doen.

Volgens securitybedrijf Trellix, dat CVE-2023-23530 en CVE-2023-23531 ontdekte, gaat het om een nieuwe klasse van 'privilege escalation' kwetsbaarheden, waardoor een lokale aanvaller of malafide app hogere rechten kunnen krijgen. Apple kwam eind 2021 met een mitigatie voor een zero-click exploit voor iOS, die voornamelijk uit denylists bestond. De onderzoekers van Trellix ontdekten een methode om deze denylists te legen, waardoor de eerdere aanvalsmethodes weer beschikbaar waren.

Het komt vaker voor dat Apple eerder uitgegeven beveiligingsbulletins op een later moment van verdere informatie voorziet. Iets waar onder andere Google in het verleden kritiek op uitte.

Reacties (5)
21-02-2023, 17:30 door Anoniem
Apple is gewoon stiekum.
Als hun malware scanner iets vindt, dan wordt dit ook niet gemeld aan de gebruiker, maar alleen aan Apple zelf.
22-02-2023, 09:40 door Anoniem
ja en dan zegt men Apple is veiliger nou noth..
22-02-2023, 10:11 door Anoniem
Door Anoniem: ja en dan zegt men Apple is veiliger nou noth..

Of het OS veiliger is dan andere OSen heeft natuurlijk weinig te maken met hoeveel ze erover melden.
22-02-2023, 10:45 door Anoniem
Wat is er niet veilig aan het later melden van informatie van kwetsbaarheden dan het uitbrengen van updates?
Een kwaadwillende weet ook niet dat de kwetsbaarheden aanwezig zijn. Geeft de gebruiker eerst de mogelijkheid deze te patchen voordat de informatie publiekelijk word. Veel Malware wordt ook geschreven op bestaande kwetsbaarheden.
23-02-2023, 08:31 door Anoniem
Door Anoniem: Wat is er niet veilig aan het later melden van informatie van kwetsbaarheden dan het uitbrengen van updates?
Een kwaadwillende weet ook niet dat de kwetsbaarheden aanwezig zijn. Geeft de gebruiker eerst de mogelijkheid deze te patchen voordat de informatie publiekelijk word. Veel Malware wordt ook geschreven op bestaande kwetsbaarheden.

Dan ga je er van uit dat dit al niet bekend was bij 'the bad guys'
Veel kwetsbaarheden worden gevonden doordat deze al actief aangevallen worden en daardoor gedetecteerd.

Door bekend te maken waar het probleem zit kunnen gebruikers er voor kiezen om de software te vermijden of bepaalde functionaliteit uit te schakelen tot de daadwerkelijke fix.

Er valt dus voor beide kanten wat te zeggen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search