Keamanan & Privasi + Berita Keamanan
Diposting pada 22 Desember 2022 oleh Joshua Long
Minggu lalu, pada 13 Desember, Apple merilis pembaruan keamanan untuk semua sistem operasi yang saat ini didukung, termasuk ketiga versi macOS terbaru. Secara total, saat itu Apple menyebutkan 36 kerentanan yang telah ditambal di macOS Ventura, 23 di antaranya ditambal untuk macOS Monterey, dan 20 untuk macOS Big Sur.
Namun awal minggu ini, dan lagi-lagi pagi ini, detail baru terungkap tentang apa yang ditambal dalam pembaruan ini, serta pembaruan Apple lainnya sebelumnya. Inilah kisah lengkapnya—termasuk detail yang tidak akan Anda temukan di tempat lain.
Dalam artikel ini:
Garis waktu peristiwa
- 27 Juli – Microsoft menemukan kerentanan bypass Gatekeeper baru; Apple kemudian menamainya “CVE-2022-42821”
- Akhir Juli – Microsoft mengembangkan eksploitasi proof-of-concept Achilles dan melaporkan kerentanan terhadap Apple
- 24 Oktober – Apple menambal kerentanan, tetapi hanya untuk macOS Ventura 13.0, dan tidak menyebutkannya secara publik
- 13 Desember – Apple menambal kerentanan untuk macOS Monterey dan Big Sur, dan memperbarui catatan rilis Ventura 13.0 untuk mengungkapkannya telah ditambal sebelumnya
- 19 Desember – Microsoft menerbitkan perincian lengkap tentang penemuan CVE-2022-42821 dan pengembangan eksploit Achilles PoC
- 22 Desember – Apple menambahkan pengungkapan kerentanan tambahan (tidak terkait) untuk merilis catatan untuk macOS Ventura 13.0 dan berbagai pembaruan perangkat lunak mulai 13 Desember
Microsoft menemukan kerentanan bypass Gatekeeper baru
Salah satu kerentanan yang ditambal di macOS Monterey 12.6.2 dan macOS Big Sur 11.7.2 minggu lalu telah ditambal secara diam-diam di macOS Ventura 13 hampir dua bulan sebelumnya:
BOM
Dampak: Aplikasi dapat mengabaikan pemeriksaan Gatekeeper
Deskripsi: Masalah logika telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2022-42821: Jonathan Bar Atau dari Microsoft
Jika aplikasi jahat memanfaatkan kerentanan ini, itu berpotensi melewati teknologi Gatekeeper Apple. Gatekeeper seharusnya mencegah malware Mac dan perangkat lunak tidak tepercaya lainnya agar tidak dapat berjalan.
Microsoft mengatakan bahwa mereka mengembangkan exploit proof-of-concept yang dijuluki “Achilles” untuk menguji kerentanan.
Ini bukan pertama kalinya kerentanan Gatekeeper-bypass ditemukan. Microsoft membagikan contoh dari setengah lusin kerentanan lain yang telah ditambal dalam beberapa tahun terakhir, termasuk yang lain dari awal tahun 2022, dan tiga dari tahun 2021. Kami sebelumnya telah membahas berbagai bypass Gatekeeper lainnya di Blog Keamanan Mac.
Microsoft juga mencatat bahwa fitur Mode Penguncian baru opsional macOS Ventura tidak mencegah eksploitasi kerentanan ini.
Penemuan kerentanan terinspirasi dengan mempertimbangkan kembali bypass Gatekeeper masa lalu yang diperbaiki Apple pada tahun 2021. Kerentanan baru memanfaatkan kegigihan metadata file menggunakan file AppleDouble, yang biasanya diberi nama dengan awalan “._” (dot-underscore) dan disembunyikan di Finder secara default, dan Daftar Kontrol Akses (ACL).
?☠️ Gatekeeper, dirilis lebih dari satu dekade lalu (Juli 2012), masih sepele untuk dilewati.
Penelitian yang indah oleh @yo_yo_yo_jbo(ab) menggunakan AppleDouble & ACL untuk melewati Gatekeeper sepenuhnya … lagi
— Patrick Wardle (@patrickwardle) 20 Desember 2022
Relatif sepele menghindari fitur keamanan bawaan di macOS adalah pengingat serius mengapa penting untuk menggunakan perangkat lunak perlindungan Mac tambahan dari pengembang tepercaya seperti Intego.
Detail teknis lengkap dari kerentanan bypass Gatekeeper dapat ditemukan di laporan Microsoft.
Apple memperbarui penasihat keamanan untuk macOS Ventura 13.0
Menariknya, Apple sebelumnya tidak mengungkapkan keberadaan tambalan kerentanan bypass Gatekeeper dalam rilis asli macOS Ventura pada 24 Oktober. Sebaliknya, Apple memilih untuk menambalnya secara diam-diam pada saat itu — tanpa pengakuan publik. (Sebagai pengingat, ini hampir selalu paling aman untuk menjalankan versi macOS utama saat ini.) Apple terkadang memilih untuk menunda pengungkapan fakta bahwa kerentanan telah ditambal, terutama jika kerentanan yang sama memengaruhi sistem operasi lain yang mungkin tidak ditambal hingga tanggal berikutnya. Pada 13 Desember, Apple akhirnya merevisi catatan rilis pembaruan keamanan macOS Ventura 13 yang ada untuk menambahkan entri tentang kerentanan.
Saat meninjau catatan rilis tersebut pagi ini (22 Desember), Intego memperhatikan bahwa Apple baru saja menambahkan empat kerentanan tambahan ke catatan rilis keamanan macOS Ventura 13.0 hari ini, mengungkapkan bahwa kerentanan ini juga ditambal dalam rilis awal Ventura hampir dua bulan lalu pada bulan Oktober 24:
CoreMedia
Dampak: Ekstensi kamera mungkin dapat terus menerima video setelah aplikasi yang diaktifkan ditutup
Deskripsi: Masalah dengan akses aplikasi ke data kamera telah diatasi dengan logika yang ditingkatkan.
CVE-2022-42838: Halle Winkler (@hallewinkler) dari PolitepixDriver GPU
Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Pembacaan di luar batas telah diatasi dengan validasi masukan yang ditingkatkan.
CVE-2022-42833: Pan ZhenPeng (@Peterpan0927)WebKit
Dampak: Memproses konten web perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan manajemen memori yang ditingkatkan.
Bugzilla WebKit: 246669
CVE-2022-42826: Francisco Alonso (@revskills)Penyimpanan WebKit
Dampak: Aplikasi mungkin dapat melewati preferensi Privasi
Deskripsi: Masalah telah diatasi dengan penanganan cache yang lebih baik.
CVE-2022-32833: Csaba Fitzl (@theevilbit) of Offensive Security, Jeff Johnson
Ini adalah kelima kalinya Apple secara retroaktif menambahkan pengungkapan kerentanan tambahan ke catatan rilis keamanan macOS Ventura 13 dalam waktu kurang dari dua bulan. Setelah awalnya merilis catatan pada 24 Oktober, Apple diam-diam menambahkan entri pada 25 Oktober, 27 Oktober, 9 November, 13 Desember, dan 22 Desember.
Apple memperbarui penasihat keamanan untuk pembaruan 13 Desember
Apple juga menambahkan pengungkapan kerentanan tambahan pada 22 Desember ke catatan rilis untuk beberapa pembaruan perangkat lunak dirilis pada 13 Desember yang dibahas Intego di sini di Blog Keamanan Mac minggu lalu. Secara khusus, Apple menambahkan entri baru ke catatan rilis keamanan untuk macOS Ventura 13.1, macOS Monterey 12.6.2, macOS Big Sur 11.7.2, Safari 16.2 untuk Monterey dan Big Sur, serta iOS 16.2 dan iPadOS 16.2. Kerentanan tersebut adalah sebagai berikut:
PaketKit
Dampak: Aplikasi mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah logika telah diatasi dengan pengelolaan status yang ditingkatkan.
CVE-2022-46704: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) of Offensive SecurityWebKit
Dampak: Mengunjungi situs web berbahaya dapat mengakibatkan spoofing bilah alamat
Deskripsi: Masalah spoofing muncul saat menangani URL. Masalah ini telah diatasi dengan validasi masukan yang ditingkatkan.
CVE-2022-46705: Hyeon Park (@tree_segment) dari ApplePIE
Kerentanan PackageKit telah diatasi di ketiga versi macOS. Kerentanan WebKit juga dialamatkan untuk semua versi macOS (langsung di pembaruan Ventura 13.1, dan melalui pembaruan Safari 16.2 untuk Monterey dan Big Sur), dan juga dialamatkan di iOS 16.2 dan iPadOS 16.2.
Selain itu, Apple menambahkan entri baru ke catatan rilis iPadOS 16.2 pagi hari tanggal 22 Desember untuk mengonfirmasi bahwa kerentanan yang “dieksploitasi secara aktif”, sebenarnya, telah ditujukan untuk iPad, seperti yang kami spekulasikan dalam artikel kami minggu lalu. Sebelum pembaruan 13 Desember, Apple telah mengeluarkan tambalan darurat khusus untuk iPhone, yaitu iOS 16.1.2, pada 30 November, tanpa tambalan terkait untuk iPad atau perangkat Apple lainnya pada saat itu. Pengguna Mac, iPad, dan Apple TV harus menunggu hampir dua minggu tambahan untuk tambalan yang sama:
WebKit
Dampak: Memproses konten web perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer. Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif terhadap versi iOS yang dirilis sebelum iOS 15.1.
Deskripsi: Masalah kebingungan jenis telah diatasi dengan penanganan status yang ditingkatkan.
CVE-2022-42856: Clément Lecigne dari Grup Analisis Ancaman Google
Masih belum jelas apakah kerentanan mungkin berlaku untuk, atau ditambal secara diam-diam di, watchOS 9.2 atau iCloud untuk Windows 14.1. Apple menambal kerentanan WebKit lain di kedua pembaruan perangkat lunak ini pada 13 Desember, tetapi tidak menentukan apakah CVE-2022-42856 berlaku untuk, atau menambal, pembaruan tersebut.
Jika CVE-2022-42856 berdampak pada watchOS 9, kemungkinan juga berdampak pada watchOS 8, yang belum ditambal sejak 17 Agustus. Beberapa kerentanan (setidaknya dua di antaranya dieksploitasi secara aktif) tetap tidak ditambal untuk Apple Watch Series 3, satu-satunya model yang tidak dapat ditingkatkan dari watchOS 8 ke 9. Ini penting karena Apple masih menjual Apple Watch Series 3 (sebagai produk Refurbished Bersertifikat) di toko online-nya, meskipun tidak kompatibel dengan watchOS 9. Penjualan Seri 3 rekondisi Apple dengan harga $369—yang lebih mahal daripada, dan secara teknologi jauh lebih rendah daripada, model Apple Watch SE yang dirilis tahun ini yang dimulai dari $249 dan dapat menjalankan watchOS terbaru. Selain itu, perbaikan Apple Seri 3 harganya hampir sama dengan Seri 8 lima generasi yang lebih baru, yang dimulai dari $399 baru.
Apple belum menanggapi permintaan komentar kami tentang penerapan atau status tambalan CVE-2022-42856 ke watchOS 9, watchOS 8, atau iCloud untuk Windows. Kami juga masih menunggu tanggapan dari Apple mengenai apakah akan merilis pembaruan keamanan lebih lanjut untuk watchOS 8 untuk Apple Watch Series 3 yang masih dijualnya.
Bagaimana saya bisa belajar lebih banyak?
Untuk detail tambahan tentang kerentanan bypass Gatekeeper, lihat tulisan Microsoft. Anda juga dapat membaca artikel kami sebelumnya yang membahas kerentanan lain yang ditambal Apple pada 13 Desember.
Apple merilis macOS Ventura 13.1, iOS 16.2, dan lainnya; memperbaiki kerentanan zero-day
Setiap minggu di Podcast Intego Mac, Pakar keamanan Mac Intego membahas berita terbaru Apple, kisah keamanan dan privasi, dan menawarkan saran praktis untuk memaksimalkan perangkat Apple Anda. Pastikan untuk ikuti podcastnya untuk memastikan Anda tidak melewatkan episode apa pun.
Kami berbicara tentang pembaruan sistem operasi terbaru Apple di episode 271:
Anda juga dapat berlangganan kami buletin email dan awasi di sini Blog Keamanan Mac untuk berita keamanan dan privasi Apple terbaru. Dan jangan lupa untuk mengikuti Intego di saluran media sosial favorit Anda:
Tentang Joshua Long
Joshua Long (@theJoshMeister), Kepala Analis Keamanan Intego, adalah peneliti keamanan, penulis, dan pembicara publik terkenal. Josh memiliki gelar master di bidang TI yang berkonsentrasi pada Keamanan Internet dan telah mengambil kursus tingkat doktor dalam Keamanan Informasi. Apple secara terbuka mengakui Josh karena menemukan kerentanan otentikasi ID Apple. Josh telah melakukan penelitian keamanan siber selama lebih dari 20 tahun, yang sering ditampilkan oleh outlet berita besar di seluruh dunia. Cari lebih banyak artikel Josh di security.thejoshmeister.com dan ikuti dia Twitter. Lihat semua posting oleh Joshua Long →