Apple schließt Zero-Day-Lücken in iOS, iPadOS und macOS Monterey
Betroffen sind iOS und iPadOS 15.6 sowie macOS Monterey 12.5. Unbefugte können unter Umständen Schadcode einschleusen und mit Kernelrechten ausführen. Für beide Zero-Day-Lücken liegen bereits Exploits vor.
Apple hat wichtige Sicherheitsupdates für seine Betriebssysteme veröffentlicht. Sie schließen jeweils zwei Zero-Day-Lücken, die nach Angaben des Unternehmens bereits aktiv für Angriffe ausgenutzt werden. Betroffen sind die aktuellen Versionen von iOS, iPadOS und macOS.
Die erste Zero-Day-Lücke steckt im Kernel. Apple zufolge kann eine Anwendung unter Umständen beliebigen Code mit Kernelrechten ausführen, was der Beschreibung einer kritischen Anfälligkeit entspricht. Für die zweite Zero-Day-Lücke ist die Browserengine WebKit verantwortlich. Hier können speziell gestaltete Webinhalte eine Remotecodeausführung auslösen. Beide Schwachstellen sind auf Out-of-Bounds-Schreibfehler zurückzuführen.
Darüber hinaus teilt Apple lediglich mit, dass die Bugs von einem anonymen Sicherheitsforscher gemeldet wurden. Der Kernelfehler dürfte unter macOS schwerwiegender sein als unter iOS und iPadOS, da Apples Desktopbetriebssystem die Installation von Apps aus nicht offiziellen Quellen zulässt. Um die WebKit-Lücke ausnutzen, muss ein Nutzer indes unabhängig vom Betriebssystem lediglich zum Besuch einer vom Angreifer kontrollierten Website verleitet werden.
Betroffene sollten möglichst zeitnah die von Apple angebotenen Updates installieren. iOS 15.6.1 und iPadOS 15.6.1 werden wie immer Over-the-Air verteilt. Für macOS Monterey steht die OS-Version 12.5.1 zum Download bereit. Ob auch ältere Versionen der Apple-Betriebssysteme angreifbar sind, ist nicht bekannt. Es wäre allerdings nicht das erste Mal, dass Apple Sicherheitsupdates für ältere OS-Versionen mit einer zeitlichen Verzögerung nachliefert.
