Apple dicht kritieke lekken in kernel van iOS en macOS

Apple heeft kritieke lekken in XNU gedicht, de kernel van macOS en iOS. Een beveiligingsbedrijf trof twee soorten kwetsbaarheden in XNU aan. Met een ervan kon een aanvaller binnen hetzelfde netwerk op afstand willekeurige code uitvoeren.

Beveiligingsbedrijf Semmle trof in augustus 2018 een kwetsbaarheid aan die betrekking had op de manier waarop de netwerkcode van XNU pakketjes van het internet control message protocol, of icmp, afhandelt. Het gaat om een heap buffer-overflow, die een aanvaller in staat stelt een apparaat te laten crashen, maar waarmee een kwaadwillende ook willekeurige code op een kwetsbaar systeem kan uitvoeren, of er data aan kan onttrekken. De iPad, iPhone of Mac moet wel op hetzelfde netwerk als de aanvaller zitten, maar interactie van de gebruiker is niet noodzakelijk, wat de impact relatief groot maakt.

Apple heeft de icmp-kwetsbaarheid in macOS Sierra 10.12.6, High Sierra 10.13.6, Mojave en in iOS 12 gedicht. Volgens Semmle is het in iOS 11 nog aanwezig waarbij het advies is om te upgraden.

Daarnaast trof Semmle in mei 2018 vijf kwetsbaarheden met betrekking tot nfs, oftewel het network file system aan in macOS. Deze stellen een aanvaller in staat een speciaal vervaardigd nfs-volume te mounten op een systeem, bijvoorbeeld via een gastaccount, om verhoogde kernelrechten te verkrijgen. Omdat die rechten hoger zijn dan zelfs beheerdersrechten, krijgt een aanvaller zo het volledige beheer over een systeem.

MacOS High Sierra 10.13.5 en eerdere versies van het OS waren kwetsbaar. Apple heeft de lekken gedicht met de release van versie 10.13.6, in juli. Deze week onthulde Apple dat het de kwetsbaarheden gedicht heeft. Semmle benadrukt dat beveiligingsdeskundigen kunnen helpen de kernel op veiligheid te controleren omdat de broncode deels opensource is.

Reacties (66)

[Verwijderd]

Dit is de korte video (15 seconden) met demonstratie van het ICMP lek: https://www.youtube.com/watch?v=aV7yEemjexk

(Ik werk voor Semmle)

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:00]

[Foxl]

Volgens Semmle is het in iOS 11 nog aanwezig waarbij het advies is om te upgraden.

Koel, maar dat gaat dus niet bij wat oudere iApparaten. Wordt iOS 11 nog gepatcht of hebben die gebruikers gewoon pech gehad?

[Gaston]

Ieder iDevice dat iOS 11 draait kan upgraden naar iOS 12, dus dat is het probleem niet. Sterker nog, er is geen enkele reden om op iOS 11 te blijven omdat iOS 12 over het algemeen zelfs beter draait, vooral op oudere apparaten.

[tijnvw]

Persoonlijk zit ik (met een beetje pijn in het hart) nog steeds op iOS 10.

Ik hoopte erg dat Apple in iOS 11/12 zich ontvankelijk toont voor de gebruikers die graag een switch in Control centre zouden zien waarmee je wifi aan-/uit kunt zetten zoals in iOS 10. Dit kan namelijk niet.

Voor de duidelijkheid: dit is niet wat de wifi-switch in Control centre op dit moment doet. Dit kan op dit moment alleen via de langere route in het instellingenmenu. Scheelt veel aan batterij als je wifi/bluetooth niet op de achtergrond aan het scannen is.

Lange video, maar voor als het niet duidelijk is wat ik bedoel: https://www.youtube.com/watch?v=zespopvWVrE

Met deze lekken moet ik misschien toch maar om, heb al tijden geen beveiligingsupdate voor iOS 10 meer gezien, ook niet optimaal.

[xoniq]

Beetje onzin. Als je wifi via de toggle uitzet, is ie wel uit zoals je dat verwacht, maar is ie nog wel beschikbaar voor zaken als AirDrop als jij bijv via je Mac een bestand of foto wilt overzetten via AirDrop. Of tussen twee iPhone. Of een afbeelding instant van iPhone maar Mac. Dat is de reden dat de WiFi toggle nu zo werkt.

Ditzelfde geldt ook voor Bluetooth, Bluetooth is deels uitgeschakeld, maar kan nog door bijv. de Apple Watch worden gebruikt, of eveneens voor AirDrop om het andere apparaat te detecteren om dan een ad-hoc wifi verbinding op te zetten voor AirDrop.

Als jij geen AirDrop gebruikt, en geen Apple Watch, dan zijn Bluetooth en WiFi gewoon vrijwel uit.

Je schuilt je achter een probleem die er helemaal niet is. Als het echt een impact had op de batterij (het nieuwe 'uit' zetten) dan hadden ze hier echt wel wat aan gedaan.

Zelf ben ik er dan ook blij mee. WiFi 'uit' maar toch kunnen gebruiken voor AirDrop tussen twee devices en zelfde geldt voor Bluetooth ivm de Apple Watch. (Echter heb ik Bluetooth niet vaak uit ivm infotainment in de auto)

[doom71]

Dat klopt dus niet wat je zegt. Wi-Fi is niet uit zolang het nog beschikbaar is en actief gebruikt kan worden. Het sluit alleen de actieve verbinding af.

[xoniq]

Begrijpelijk lezen is lastig.

'Uit zoals je verwacht' als in;

- Geen verbinding zoeken
- Actieve verbindingen afsluiten
- Niet actief scannen

Deze is dan slechts on-demand beschikbaar wanneer bijv. via Bluetooth een apparaat gevonden wordt die van jouw is om een tijdelijk ad-hoc netwerk op te zetten voor AirDrop en dergelijke. Zonder poespas. Dat komt juist het gemak ten goede.

Alsof een vinkje uberhaubt ooit de fysieke WiFi chip heeft uitgeschakeld, het blijft een software matig iets, dat de chip verder niet gebruikt wordt. En dat is bij de nieuwe manier gelijk, alleen kan deze door iOS alsnog aangezet worden zonder gedoe indien jij een functie gebruikt die daarom vraagt.

[Sinnergy]

En hoe maken die devices dan verbinding, als ik vragen mag, als ze niet aan het luisteren zijn ('scannen') of verbindingen zoeken?

[xoniq]

Dat gaf ik aan, via Bluetooth low power vinden 'ze' elkaar, en als je op beide apparaten met je Apple ID bent ingelogd wordt voor elk bestand die je over gooit een onderling WiFi netwerk opgezet en gaat ie daarna weer uit. (Daarom kan je ook in een WiFi-loze omgeving alsnog bestanden van honderden MB's tussen je apparaten in no time overzetten)

Gebruik dit veelvuldig, terwijl ik niet wil dat mijn telefoon met het reguliere WiFi netwerk verbind (gebruik enkel 4G) dan is deze modus perfect, voorheen moest ik dan WiFi aanzetten, en daarna weer uitzetten, waarna de telefoon weer met alles qua WiFi verbind. Dit vind ik persoonlijk dan ook ideaal, geen geklooi met aan en uit zetten, het werkt gewoon.

Het zijn dan ook de mensen die de gedachte achter de functies niet snappen, en mij omlaag modden. Als je dergelijke functies gebruikt, is 't heel handig en logisch, gebruik je het niet, dan heb je enkel Bluetooth low power aan staan wat amper wat doet als 't niet nodig is.

[Reactie gewijzigd door xoniq op 23 juli 2024 03:00]

[Gelomidor]

Erg herkenbaar, ik vind het vervelend dat ik nu niet meer bluetooth kan uitzetten, maar alleen kan “loskoppelen”. Vrees dat ze dat niet gasm fixen en nu moet je via omweg bluetooth uitzetten

[SpaceK33z]

Sinds de komst van de Shortcuts app kun je daar ook gewoon een shortcut voor maken; vervolgens is het vrijwel net zo weinig werk als op de "oude" manier. Zie deze Reddit thread.

[cyberdyne]

Het niet helemaal uit kunnen zetten van WiFi via control centre is ook een van de redenen waarom ik niet wilde upgraden van iOS 10.3.3. naar iOS 11 of iOS 12.
Maar sinds dinsdag heb ik geüpgraded direct naar iOS 12.1 en als ik daar WiFi uitzet in control centre staat het ook uit onder WiFi in de Settings Menu. Dus het staat volgens mij nu wel helemaal uit. Ook is er een andere icoon voor WiFi uit in control centre. Voorheen werd het WiFi icoon grijs en nu is het grijs met een diagonale streep er doorheen, met de betekenis dat het helemaal uitstaat.

Kan iemand het bovenstaande bevestigen?

[tijnvw]

Volgens mij is dit niet het geval. Mogelijk wel als je tegelijk bijv vliegtuigstand aan hebt staan, maar het gedrag van de wifi "uitschakel" button is onveranderd: hij verbreekt alleen de verbinding met het huidige netwerk, terwijl wifi zelf actief blijft.

De oplossing van @SpaceK33z werkt trouwens prima, veel dank voor het delen!

[cyberdyne]

Daar heb je gelijk in, in airplane mode gaat Wifi helemaal uit, maar als airplane mode niet uitstaat dan verbreekt hij alleen de verbinding.
Intussen heb ik een shortcut gemaakt zoals op de Reddit thread
Dat werkt goed.

[kamerplant]

Huh als dat alles is. Is het niet een beetje overdreven om alleen daarvoor op een legacy OS te zitten?

[joostiphone]

Als je je toestel voorzien wilt van een Jailbreak, kan dat een reden zijn (zoals ikzelf, 11.3.1 met Electra).

[j1b2c3]

Dat vindt jij misschien. Maar het heeft veel impact op een iPad pro. Omdat het voor een telefoontje geschreven is en niet voor een iPad. Heel veel nuttig features van 11 kosten veel meer tijd op 12

[Zyphrax]

Alle iOS apparaten die iOS 11 draaien kunnen volgens mij ook upgraden naar iOS 12.

Voor devices als de iPad 2, iPad 3 en iPhone 4 was iOS 9 de laatste versie. De iPad 2 is een bijzonder lange tijd verkocht, waardoor veel mensen dit apparaat nog gebruiken. Ik denk echter niet dat Apple nog met een iOS 9 patch aankomt.

[Foxl]

Ik zat er inderdaad naast, zit hier met een iPad 4 vast op iOS 10 ipv 11. Zelfde probleem, toch balen als zo'n gat open blijft staan.

[harrald]

Elk apparaat dat ios11 ondersteund ondersteund ook ios12

[Vondelpark]

Hmm, wat mij vooral opvalt is de vijf maanden die verstreken zijn voordat de gaten van afgelopen mei gedicht zijn.
Dat is toch veel te lang!

[Verwijderd]

Wat wil je dan, meteen openbaar maken en dan half jaar veel meer devices gehackt laten worden?

[Vondelpark]

Nee, ik wil dat Apple er bovenop zit om gaten te dichten. Het duurt te lang voordat men met oplossingen komt.

[dev10]

Dat is ten eerste heel makkelijk gezegd en ten tweede is het in dit geval pertinent niet waar.

Laten we even de timeline van Semmle er bij pakken:

Als we het even hebben over de NFS vulnerabilities die op 21 mei zijn ontdekt, zie je dat dat die op 22 zijn bevestigd door Apple. Vervolgens is op 9 juli macOS 10.13.6 uitgebracht waarin deze vulnerability is verholpen. Dat is dus 48 dagen.

Dan de ICMP vulnerability:

• 9 augustus: Ontdekt door Semmle.
• 9 augustus: Bevestigd door Apple.
• 22 augustus: Verholpen in de beta's van iOS 12 en macOS Mojave.
• 17 september: Apple releaset iOS 12. Semmle bevestigd dat de vulnerability is verholpen.
• 24 september: Apple releaset macOS Mojave. Semmle bevestigd dat de vulnerability is verholpen.

Vanaf ontdekken (9 augustus) tot release (24 september) praten we over 46 dagen. Vanaf ontdekken tot de fix zelf is zelfs nog veel korten: 13 dagen.

Dat Apple er vervolgens voor kiest om dit 5 maanden na dato naar buiten te brengen is hun goed recht. Dat wil alleen niet zeggen dat ze er vijf maanden over gedaan hebben om deze lekken te verhelpen.

[Reactie gewijzigd door dev10 op 23 juli 2024 03:00]

[DefaultError]

Mijn vraag is of het ook in 10.12 zit maar ook in 10.11 of 10.7 of zelfs 10.6. Dan weten de niet zo snelle updaters wat ze kunnen verwachten.

Ondertussen heb ik iOS 12 volledig opnieuw geïnstalleerd nadat het systeem na de update corrupt was geworden. Het draait na een reset stukken beter.

[Blizz]

De niet zo snelle updaters weten hier niets van en lopen zodanig achter dat een bug meer of minder geen wezenlijk verschil in risico maakt.

[DefaultError]

Wel als je accu na een ochtend leeg is. Dan schakelt de bug vanzelf uit.

[xoniq]

Precies, het is allang gefixed, pas naar buiten brengen zodra de meeste mensen al hebben geüpdatet, waardoor er minder potentiële slachtoffers zijn nu het lek bekend is. De mensen die keurig tijdig updaten zijn allang beschermd.

[Verwijderd]

Sommige dingen kosten nu eenmaal tijd. Dat zal je toch op je eigen werk toch ook ervaren? En meer mensen ergens op zetten is niet altijd het middel om het sneller te laten gaan.

Snel patchen van iets wat gevonden wordt heeft al vaker voor ellende elders gezorgd, dus als je wat wilt doen moet je het wel grondig onderzoeken. En zeker als het in de kernel zit is het belangrijk dat je geen side effects creëert. Dan patch je een lek en werkt de rest niet meer.

[Zyphrax]

Apple zal er bovenop zitten om gaten te dichten, maar het blijft een bedrijf en zal een beslissing maken op basis van kosten en afbreuk-risico. Als 1 of meerdere developers ingezet worden op het fixen van code om een bepaalde vulnerability op te lossen, dan zijn die developers niet bezig met andere product verbeteringen of nieuwe features.

Als je klanten weglopen omdat je met te weinig features komt of bepaalde zichtbare problemen niet fixt, dan ben je ook niet goed bezig. Omgekeerd staat het goed dat je hierop snel actie neemt en met patches komt.

Een ander ding is dat MacOS niet op 1 machine draait, maar op veel systemen met verschillende configuraties / generaties aan hardware en een diversiteit aan software en randapparatuur. Er moet veel getest worden. Niet al te lang geleden hadden ze halsoverkop een patch uitgebracht voor het probleem dat je door twee keer snel op enter te drukken soms als root in kon loggen, maar door de patch werkte filesharing compleet niet meer. Voor Microsoft is de uitdaging nog groter, vanwege nog veel meer hardware variatie. Hoe vaak hebben zij ook wel niet een patch terug getrokken.

[doom71]

Heeft niets met Android te maken. Die lekken worden gedicht. Er zijn vervolgens helaas veel fabrikanten die de patches niet naar de telefoons doorzetten. Groot verschil, maar ook grootste frustratie waar het Android betreft

[ede]

Dus in de praktijk heeft het wel met Android te maken. Als er Android op je toestel draait heb je weinig kans op updates

[doom71]

Dat zeg ik toch

[DigitalExorcist]

Ja, Google patched wel, maar dan de fabrikanten nog met hun skins en vaak verouderde versies, en dan providers nog bij branded toestellen die er ook iets mee moeten.

[doom71]

Dat zeg ik toch.

[xoniq]

dat praat het niet goed wat Apple doet hoor, maar ze updaten wél.

Wat valt er goed te praten? Dat de bug er was, prima, maar het is maanden geleden al gefixed, en intussen heeft iedereen die updates al gehad. Het lek is enkel pas na maanden gepubliceerd om men de kans te geven om up te daten, nu het lek bekend is. Het eerste lek is begin van de zomer gevonden én gepatched, het tweede lek na de zomer gevonden én gepatched. Dus het is juist dikke prima, er valt niks 'goed te praten'.

[Laurent]

Hoe kom je aan de vijf maanden? De lekken die zijn gemeld in mei zijn gedicht in juli, zoals de tekst vermeldt.

[xoniq]

Kortzichtigheid is de makkelijkste weg schijnbaar. Schijnbaar denkt je dat het vandaag is gepatched nadat het in mei was gevonden, en zelf niet doorhebben dat ie door de updates sinds de zomer allang beschermd is tegen de bug.

[dennisameling]

Zo'n 28.5% van de MacOS gebruikers draait een pre-Sierra versie (september 2018). Zij krijgen hier dus geen fix voor, totdat zij zelf een upgrade uitvoeren naar een nieuwere versie van MacOS via de App Store. Behoorlijk percentage...

Bron: Statcounter

[Reactie gewijzigd door dennisameling op 23 juli 2024 03:00]

[robster!]

Ik snap het probleem en wellicht was het beter geweest als Apple ook oudere os'en had gepatcht. Zeker voor bedrijven voor wie het moeilijk is om te updaten dan een huis-tuin en keuken gebruiker.

Aan de andere kant 100% van de mensen die überhaupt niet updaten krijgen de patch sowieso niet.

[Misha Engel]

Ik ben wel blij dat er tegenwoordig zoveel wordt bloot gelegd. Veel mensen en organisaties hebben geen idee hoe kwetsbaar ze zijn. Aan de andere kant denken mensen ook nog steeds dat ze niets te verbergen hebben, totdat hun bankrekening is geplunderd of dat er belangrijke bestanden gegijzeld zijn. Laten we hopen dat veiligheid een issue blijft.

[Verwijderd]

Aii als ik Kevin was had ik de bounty zelf geclaimed

[Commendatore]

Er lijkt wel iets serieus mis te zijn met de 2008-002 update voor High Sierra. Mijn ervaringen tot nu toe op systemen die maar weinig met elkaar gemeen hebben, behalve dat het Macs zijn:

Systeem 1 (van mezelf): installatie lijkt goed te gaan en systeem start in eerste instantie op. Bij de volgende cold boot komt hij uit zichzelf in de recovery mode terecht. Ik herstart hem en hij komt weer in de recovery mode terecht, maar net op een iets andere manier. Ik herstart hem nog een keer en dan start hij volledig door. Ik vertrouw de boel nu echter niet meer, dus ik ga morgen Mojave maar even schoon installeren.

Systeem 2 (van iemand anders): vergelijkbaar verhaal als hierboven, behalve dat hij alleen nog in de recovery mode wil starten. Uiteindelijk dan maar een time machine backup teruggezet.

Systeem 3 (van weer iemand anders): loopt vast zodra het herstart om de update te installeren. Ik schakel de boel vervolgens uit door de powerknop ingedrukt te houden en het systeem start weer op. Vervolgens nog een poging gedaan, want er is toch een recente time machine backup voorhanden. Deze keer gaat het wel goed en de problemen van beide systemen hierboven treden hier niet op.

[koppie]

Hee, ik had dit ook. Na twee keer in de recoveryboot terecht te zijn gekomen, de juiste opstartschijf gekozen en weer terug in de ongepatchte versie. Toen de combi-update gedraaid, en die liep netjes door.

[SRich]

Goed dat het dicht is, maar ik weet niet hoe jullie er tegen aankijken. Maar de laatste tijd is het scheren en inslag met de kritieke lekken, het lijkt gewoon een trend te worden.

[batjes]

Het is geen trend aan het worden, veiligheidslekken zijn er altijd al zo geweest. Er begint meer focus op te komen en de techniek wordt een steeds belangrijker onderdeel van de samenleving. Dus er wordt meer gevonden.

Het is niet leuk hoe onveilig de meeste software/hardware op de wereld is, ga er maar vanuit dat veruit de meeste kwetsbaarheden nog niet eens gevonden of misbruikt zijn en dat elk stukje hardware/software wat je gebruikt, een gatenkaas is.

Het maakt ook geen bal uit welk OS of whatever je gebruikt. OSX is niet veiliger dan Windows of Linux, en andersom ook niet. Het is voor een groot deel afhankelijk van de hoeveelheid potentieel misbruik, hoeveel er gevonden wordt.

Een groot deel van het huidige security probleem komt door de jaren 90 (en daarvoor) legacies, toen security bijzaak was, geen hoofdtaak. Naast het algemene probleem: Waar gewerkt wordt, worden fouten gemaakt. Elke fout is een potentiele exploit, en reken er voor de lol op, dat op elke 1000 regels code, er meerdere fouten gemaakt worden. Er is maar 1 partij die dusver 'foutloze' code heeft weten te schrijven en dat was de NASA. Maar er zijn maar weinig partijen waarbij o.a. levens zo afhankelijk kunnen zijn van een foutje in de code, maar die code is smerig lang in ontwikkeling geweest en tig keer is gechecked en nagelopen door verscheidene partijen. Microsoft staat op een goede tweede plaats met fouten per duizend regels code en in hun software worden ook op bijna dagelijkse basis fouten gevonden.

[Zyphrax]

Foutloos zou ik niet zeggen

https://gizmodo.com/the-t...-a-nasa-rocket-1596004226

http://articles.latimes.com/1999/oct/01/news/mn-17288

[batjes]

Is ook niet voor elk project. Maar voor de software van de space shuttle zat NASA op 0 fouten per 1000 regels code. Dat is zo'n beetje het enige complexe stukje software in de wereld die dat behaald heeft.


Maar daar had een enkele programmeur zo'n 2600 regels code tot zijn beschikking en heeft 10 jaar de tijd gehad dit te perfectioneren.

[Zyphrax]

Ben wel benieuwd hoe je dat precies meet: "0 fouten per 1000 regels code". Een hoop code zal door mensen gereviewed worden en dan blijkt er later toch op een bepaalde manier een bug in te zitten. Of het nou om een buffer overflow gaat die over het hoofd gezien is of een vorm van input die niet geanticipeerd was.

Om maar niet te vergeten dat code gecompileerd wordt en de compiler ook nog bugs kan bevatten. Of de hardware levert waarden die niet binnen de normale range liggen vanwege de uitzonderlijke omstandigheden in de ruimte.

[Donstil]

Mooi toch. liever "kritieke lekken opsporen" als trend dan het euvel in het algemeen negeren!

[Cergorach]

Maar de laatste tijd is het scheren en inslag met de kritieke lekken, het lijkt gewoon een trend te worden.

Het is niet zo zeer dat ze er niet waren, maar dat ze voorheen niet werden gevonden omdat men er niet naar aan het kijken was of dat de juiste mensen er niet naar aan het kijken waren.

[Verwijderd]

Veel zaken die met de huidige stand van de techniek kritisch zijn, waren dat in het verleden niet. Encryptie van 10 jaar geleden is nu makkelijk te kraken, terwijl het destijds veilig genoeg was. Hetzelfde met dingen die we nu veilig achten. Daar zitten ongetwijfeld ook zaken bij waarvan we over een paar jaar afvragen waarom we dat toen zo maakte.

[Verwijderd]

Dat is al zo oud als de weg naar Rome en gaat ook niet veranderen. In zowel de normale als de digitale wereld.

Niets nieuws onder de zon.

[RobWu]

schering en inslag ;P

[The_Admin]

Stel je aan zeg...

Lees vaak zat meldingen over kritieke lekken in Windows, en Android al helemaal. Ook hoop ongepatcht door de fragmentatie.

[latka]

Als ik de CVE database iOs zoek zijn er 2600 meldingen. Android rond de 4200. Windows heeft er 6000. OpenBSD heeft er maar 187. Dus ik wil een OpenBSD telefoon!

[jimzz]

Het was een vraag. En ja vind het inderdaad vreemd dat men er nu zo over begint terwijl er vrijwel dagelijks bugs en lekken worden gevonden.

[Reactie gewijzigd door jimzz op 23 juli 2024 03:00]

[Verwijderd]

Nee Apple wordt juist belicht, omdat ze als veilig en betrouwbaar worden gesteld. Bij Android is het normaal dat er zoveel zwakheden in zitten.

[Verwijderd]

Wat dan weer gek is, want Linux wordt altijd als veilig gepresenteerd. Waarom is Android dan zwak?

[Verwijderd]

U tell me. haha. Wat ik vaak lees is dat omdat Android dingen open heb staan dat het misbruikt wordt. Ik zeg niet dat Apple veilig en betrouwbaar is, het wordt alleen zo geschetst.

[latka]

Het aantal root exploits voor Android kan ik op de vingers van 1 hand tellen (en dan houd ik er nog een paar over). User-space mallware meuk wellicht wel. Weet ik niet want ik installeer vrijwel geen Apps en al zeker niet uit onbekende bron. Graag de FUD onderbouwen.