Apple hat iOS 14.7.1 und iPad iOS 14.7.1 veröffentlicht und bekannt gegeben, dass es einen bisher unbekannten Fehler behebt, von dem das Unternehmen sagt, dass er “aktiv ausgenutzt” wurde.
Das Unternehmen hat auch macOS Big Sur 11.5.1 veröffentlicht, um dasselbe Problem in der gemeinsamen Apple-Kernel-Erweiterung IOMobileFrameBuffer zu beheben.
Eine bösartige App könnte mit Kernel-Rechten beliebigen Code ausführen, warnt Apple in beiden Advisories.
“Apple ist ein Bericht bekannt, dass dieses Problem möglicherweise aktiv ausgenutzt wurde”, heißt es und stellt fest, dass das als CVE-2021-30807 markierte Speicherbeschädigungsproblem von einem anonymen Forscher gemeldet wurde. Es wurde bereits ein Proof-of-Concept-Exploit-Code online gestellt.
Unabhängig davon enthüllte Saar Amar, ein Sicherheitsforscher und Mitglied des Microsoft Security Response Center (MSRC), dass er vor vier Monaten auch den jetzt gepatchten Fehler in iOS entdeckt hatte. Er sagt, er habe Apple das Problem nicht früher gemeldet, da er an einem qualitativ hochwertigen Fehlerbericht für das Bug-Bounty-Programm von Apple gearbeitet habe. Nachdem Apple den Fehler aufgedeckt hatte, veröffentlichte er detaillierte Erläuterungen zu den Problemen, die er in IOMobileFrameBuffer gefunden hatte.
Er stellt fest, dass der Fehler “so trivial und unkompliziert wie möglich ist”, fügt jedoch hinzu, dass “der Ausnutzungsprozess hier sehr interessant ist” und bietet mehr Details, als Apple jemals in seinen Ratschlägen bereitstellen würde.
Amar beschreibt es als eine lokale Privilegieneskalation (LPE)-Schwachstelle, die von einer Kern-Engine einer Safari WebKit-Komponente namens WebContent ausgelöst werden kann.
Das iOS/iPadOS-Update ist verfügbar für iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher und iPod touch (7 Generation).
Verwandte Themen:
Sicherheit TV-Datenverwaltung CXO-Rechenzentren 