Internet Sehat : Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan zero-day yang dieksploitasi dan berdampak pada iPhone, iPad, dan Mac.Kerentanan yang dilacak sebagai CVE-2021-30807 adalah masalah korupsi memori dalam ekstensi kernel IOMobileFramebuffer yang dilaporkan oleh peneliti anonim.Apple telah memperbaiki bug yang memungkinkan aplikasi untuk mengeksekusi kode arbitrer dengan hak istimewa kernel, dengan meningkatkan penanganan memori di iOS 14.7.1, iPadOS 14.7.1, dan macOS Big Sur 11.5.1.Daftar perangkat yang terpengaruh termasuk Mac, iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7).Menurut Apple mereka mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif. Apple mengungkapkan bahwa setidaknya satu laporan menyebutkan eksploitasi aktif CVE-2021-30807, namun Apple tidak merilis informasi tambahan mengenai serangan ini.Menahan info ini kemungkinan merupakan tindakan yang dirancang untuk memungkinkan pembaruan keamanan yang dirilis hari ini untuk menjangkau iPhone, iPad, dan Mac sebanyak mungkin sebelum pelaku ancaman lain mengetahui detailnya dan mulai secara aktif menyalahgunakan zero-day yang sekarang telah ditambal.Bulan lalu, Amnesty International dan Forbidden Stories juga mengungkapkan bahwa mereka menemukan spyware yang dibuat oleh vendor pengawasan Israel NSO Group yang dipasang di iPhone yang menjalankan rilis iOS terbaru, kemungkinan diretas menggunakan eksploitasi iMessage zero-day zero-click.Project Zero juga baru-baru ini mengungkapkan bahwa sekelompok peretas menggunakan 11 zero-days dalam serangan yang menargetkan pengguna Windows, iOS, dan Android dalam satu tahun.Sumber : Bleeping Computer

Apple Perbaiki Kerentanan Zero Day yang Memengaruhi iPhone dan Mac

Internet Sehat : Apple secara diam-diam telah memperbaiki kerentanan zero-day dengan merilis iOS 15.0.2, pada hari Senin kemarin. Kerentanan ini adalah sebuah kelemahan keamanan yang dapat membuat penyerang mendapatkan akses ke informasi pengguna yang sensitif.Apple mengatasi bug tersebut tanpa mengakui atau memberi kredit kepada pengembang perangkat lunak Denis Tokarev atas penemuan tersebut meskipun ia melaporkan kekurangan tersebut tujuh bulan sebelum iOS 15.0.2 dirilis.Pada bulan Juli yang lalu Apple juga diam-diam menambal cacat zero-day analyticsd dengan rilis 14,7 tanpa mengkredit Tokarev, alih-alih berjanji untuk mengakui laporannya di penasihat keamanan untuk pembaruan yang akan datang. Sejak saat itu, Apple menerbitkan beberapa perbaikian keamanan (iOS 14.7.1, iOS 14.8, iOS 15.0, dan iOS 15.0.1) yang menangani kerentanan iOS, tetapi setiap kali pula mereka gagal memberi kredit pada laporan bug analyticsd-nya.Apple mengatakan oleh karena masalah pemrosesan, kredit pengembang akan disertakan pada perbaikan keamanan dalam pembaruan yang akan datang. Dua hari yang lalu, setelah iOS 15.0.2 dirilis, Tokarev mengirim email lagi tentang kurangnya kredit untuk kelemahan gamed dan analyticsd dalam perbaikan keamanan. Apple menjawab, memintanya untuk memperlakukan isi pertukaran email mereka sebagai sesuatu yang rahasia.Ini bukan pertama kalinya tim keamanan Apple meminta kerahasiaan tersebut. Hal ini pertama kali terjadi pada bulan Agustus ketika mereka diberi tahu bahwa game zero-day akan diperbaiki dalam pembaruan keamanan di masa mendatang dan didesak untuk tidak mengungkapkan bug tersebut secara publik.Pemburu hadiah bug dan peneliti keamanan lainnya juga melaporkan memiliki pengalaman serupa saat melaporkan kerentanan kepada tim keamanan produk Apple melalui Program Bounty Keamanan Apple. Beberapa mengatakan bug yang dilaporkan ke Apple diperbaiki secara diam-diam, dengan perusahaan gagal memberi mereka kredit, seperti yang terjadi dalam kasus ini.Lainnya tidak dibayar sesuai jumlah yang tercantum di halaman bounty resmi Apple atau belum menerima pembayaran sama sekali, sementara beberapa telah disimpan dalam ketidakjelasan selama berbulan-bulan tanpa balasan ke email mereka.Secara total, Tokarev menemukan empat iOS zero-days dan melaporkannya ke Apple antara 10 Maret dan 4 Mei. Pada bulan September, ia menerbitkan kode eksploit bukti konsep dan detail tentang semua kerentanan iOS setelah perusahaan gagal mengkreditnya setelah menambal gamed zero-day di bulan Juli.Jika penyerang berhasil mengeksploitasi empat kerentanan pada perangkat iOS yang belum ditambal (yaitu, iPhone dan iPad), mereka dapat memperoleh akses dan memanen email ID Apple, nama lengkap, token otentikasi ID Apple, info aplikasi yang diinstal, info WiFi, dan log analitik (termasuk informasi medis dan perangkat).Sumber : Bleeping Computer

Apple Diam-diam Perbaiki iOS Zero Day Tanpa Memberikan Kredit ke Peneliti Keamanan

Internet Sehat : Apple Inc. telah merilis pembaruan keamanan untuk mengatasi denial of service (DoS) yang terus-menerus yang disebut DoorLock. Bug DoorLock ini bisa menonaktifkan iPhone dan iPad yang menjalankan HomeKit di iOS 14.7 dan yang lebih baru.HomeKit adalah protokol dan kerangka kerja Apple yang memungkinkan pengguna iOS dan iPadOS menemukan dan mengontrol peralatan rumah pintar di jaringan mereka.Seperti yang dijelaskan perusahaan dalam penasihat keamanan yang dikeluarkan kemarin, kerentanan DoorLock yang dilacak sebagai CVE-2022-22588 akan membuat perangkat iOS dan iPadOS yang terpengaruh crash saat memproses nama aksesori HomeKit yang dibuat dengan jahat.Apple telah mengatasi masalah kehabisan sumber daya yang parah ini di iOS 15.2.1 dan iPadOS 15.2.1 dengan menambahkan validasi input yang ditingkatkan yang tidak lagi memungkinkan penyerang menonaktifkan perangkat yang rentan.Perangkat yang menerima pembaruan keamanan hari ini termasuk iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7).Trevor Spiniolas, programmer dan peneliti keamanan pemula yang melihat dan melaporkan bug tersebut empat bulan yang lalu. Menurut Spiniolas, Apple telah mengetahui tentang DoorLock sejak Agustus 2021, tetapi menolah melakukan pembaruan keamanan beberapa kali meskipun berulang kali berjanji untuk memperbaikinya. Ia yakin bug ini ditangani secara tidak tepat karena menimbulkan risiko serius bagi pengguna dan berbulan-bulan telah berlalu tanpa perbaikan yang komprehensif.Peneliti mengatakan penyerang harus mengubah nama perangkat HomeKit menjadi string besar hingga 500.000 karakter dan mengelabui target agar menerima undangan Home. Setelah target bergabung dengan jaringan HomeKit penyerang, perangkat mereka menjadi tidak responsif dan akhirnya mogok.Satu-satunya cara untuk pulih dari serangan semacam itu adalah dengan menyetel ulang pabrik perangkat yang dinonaktifkan, mengingat perangkat itu akan mogok sekali lagi setelah memulai ulang dan masuk kembali ke akun iCloud yang ditautkan ke perangkat HomeKit.Sumber : Bleeping Computer

147

Apple Perbaiki Kerentanan Zero Day yang Memengaruhi iPhone dan Mac

Apple Perbaiki Kerentanan Zero Day yang Memengaruhi iPhone dan Mac

Apple Diam-diam Perbaiki iOS Zero Day Tanpa Memberikan Kredit ke Peneliti Keamanan

Apple Diam-diam Perbaiki iOS Zero Day Tanpa Memberikan Kredit ke Peneliti Keamanan

Apple Perbaiki Bug DoorLock yang Bisa Menonaktifkan iPhone & iPad

Apple Perbaiki Bug DoorLock yang Bisa Menonaktifkan iPhone & iPad

Literasi Digital

Makin Cakap Digital

Menu

Informasi