Apple brengt iOS 14.7.1 uit met patch voor actief misbruikte kwetsbaarheid

Apple heeft iOS 14.7.1 uitgebracht. Daarin zit een patch voor een kwetsbaarheid die actief werd misbruikt. Dat lek zit in de meeste moderne iPhones en iPads, en stelde een aanvaller in staat code van een afstand uit te voeren.

De update komt relatief kort na de vorige uit; Apple bracht iOS 14.7 vorige week uit. In iOS 14.7.1 zit een patch voor een kwetsbaarheid die getracked wordt onder CVE-2021-30807. Daar zijn op dit moment nog geen details over bekend. Apple schrijft zelf dat de kwetsbaarheid betrekking heeft op alle iPhones sinds de iPhone 6s, alle modellen van de iPad Pro, op alle iPads vanaf de vijfde generatie en de iPad Air 2 en Mini 4 en later. Het gaat om een memory corruption-bug waarmee een aanvaller code kan uitvoeren met kernelrechten. Apple zegt dat de kwetsbaarheid actief wordt misbruikt, maar zoals gebruikelijk geeft het bedrijf daar geen verdere details over.

De nieuwe iOS-versie repareert ook een bug in Touch ID, waardoor sommige gebruikers hun Apple Watch niet ontgrendelen met de Unlock With iPhone-functie op hun telefoon. In het nieuwe OS moet dat weer kunnen.

Reacties (51)

[robcoenen]

P.s dezelfde fix is ook beschikbaar als macOS Big Sur 11.5.1

[Reactie gewijzigd door robcoenen op 28 juli 2024 00:24]

[Keypunchie]

Thx!

[Roel911]

Bedankt. Ik heb het artikel waar je naar linkte aangemeld als tip bij de redactie.

[Fiscalist]

Waartoe hebben die hackers acces?

[Zware Unit]

".....aanvaller code kan uitvoeren met kernelrechten..."

[Fiscalist]

Ik ben een fiscalist… ik weet niet eens wat kernelrechten zijn haha. Kunnen zij bijvoorbeeld bij mijn iCloud bestanden of foto’s?

[Reactie gewijzigd door Fiscalist op 28 juli 2024 00:24]

[testaankoop]

Ik vermoed dat dit mogelijk te maken heeft met de Pegasus “hack”, het schandaal waarbij een techbedrijf uit Israël malware verkocht aan allerlei overheden. En die malware stelde hen in staat om af te kunnen luisteren/mee te kunnen lezen.

Nu, de kernel is de kern waar het OS op draait, een beetje het zaadje als je wilt. Als ik even een vergelijk met een appel (no pun intended) trek, kun je door het zaadje genetisch te modificeren een heel ander iets creëren dan als het zonder bemoeienis zou volgroeien.

Je kan dit plus minus vertalen naar software, de kernel kan door kwaadaardige code zaken anders gaan uitvoeren dan de bedoeling was. De vergelijking gaat niet volledig op, veel kernels zijn goed beschermd tegen dit soort praktijken. Maar zo nu en dan wordt er een gaatje in het schild gevonden en krijgt men het toch voor elkaar.

Nu, wat betekent dit voor jou als “niet-wereldleider/dissident/journalist”? Dat weten wij momenteel eigenlijk niet. Ongetwijfeld zal de huis-tuin-keuken-kantoorgebruiker niet interessant genoeg zijn voor de overheid of buitenlandse mogendheden. Maar dat wilt niet zeggen dat andere kwaadwillenden deze zere plek ook niet hebben ontdekt en mogelijk met je meekijken.

Daar zal dus eerst fatsoenlijk onderzoek naar moeten worden gedaan. Maar het kan alvast geen kwaad om je telefoon te updaten naar een versie waarin de kernel beter wordt beschermd natuurlijk.

[Fiscalist]

Dankjewel voor de heldere uitleg! Jammer dat mijn reactie zo erg gedownvoted is. Ik probeer zoveel mogelijk bij te leren maar ik wist echt niet wat een kernel hack was

[Nedje]

Bonuspunten dat je de vraag hebt gesteld! Ik vind het zelf juist stoer als iemand durft aan te geven iets (nog) niet te begrijpen en om verduidelijking vraagt.

Het doet mij goed dat @testaankoop daar dan ook met veel fatsoen een antwoord op geeft! Mijn dag is weer goed!

[Verwijderd]

Het is vaak zo, dat wanneer je een vraag stelt binnen Tweakers, je of raar word 'aangekeken' of keihard ge '-' wordt etc.

[testaankoop]

Geen probleem, ik vond het persoonlijk een goede vraag en ook wel de moeite om daar wat uitgebreider op in te gaan.

[meirnoordermeer]

Kernelrechten zijn de hoogste soort rechten die je kan krijgen. In andere woorden: ze kunnen alles met je telefoon/data.

[Roel911]

De kernel kan in principe overal bij.

[kodak]

Waarschijnlijk via onbetrouwbare apps, aangezien Apple stelt "An application may be able to execute arbitrary code". Maar hett hoeft niet te betekenen dat het via een gedownloade app is. Zo kunnen de standaard apps om bijvoorbeeld te bellen, de tijd zichtbaar te maken of siri ook het probleem zijn.
Hopelijk geven de onderzoekers dus meer duidelijkheid, want het maakt nogal een verschil of je niet op zelf gedownloade apps kan vertrouwen of op de standaard apps.

[bartje]

Is dit issue nieuw in 14.7 of bestond dit in 14.6.x en eerder ook al?

[John Doos]

Het bestond altijd al, maar 14.7.1 fixxed het dus. (Zoals ik het interpreteer)

[Fermion]

Heb ik als consument het recht om naar de vorige versie iOS te gaan omdat het mij beter beviel?

[foaly]

dat denk ik niet, maar volgens mij kan het wel:
https://www.tomsguide.com...rade-ios,review-6519.html

[Carlos0_0]

Tijdelijk tot dat Apple stopt met het digitaal ondertekenen van oudere versie, en waarom zou je terug willen de vorig versie is niet perse beter(alleen als je misschien jailbrake wil gaan uitvoeren).

[Meiklokje]

Als Apple er geen slotje op de firmware zet kan je altijd downgraden op je Mac OS of iOS toestel. Het probleem is dat Apple dit soort terug draaien gewoon bemoeilijkt. Even je iOS of iPad os device in dfu modes starten en terug flashen via iTunes. Als dit nog mogelijk is heb je geluk. Vroeger kon dit nog.

[well0549]

Wel om moe van te worden...
Het lijkt wel of het aantal zero days de laatste tijd toe neemt....
Dat houdt dan ook weer gelijke tred met het aantal stijgende ransomware attacks....

[ggj87]

Het zal niet de laatste zijn. Waarschijnlijk zijn er nog veel meer exploits die dit kunnen maar nog niet gemeld of ontdekt zijn bij Apple

[Verwijderd]

gelukkig fixt apple het snel

[Estel]

Dat weet je niet, het CVE is 13 april aangemaakt, maar het kan al veel eerder ontdekt zijn. Het is maar wat je snel noemt.

[Naafkap]

Hij bedoelt waarschijnlijk dat dit snel opgelost wordt ten opzichte van de concurrentie. Daar krijgen veel gebruikers die langer dan drie jaar met hun toestel doen vaak geen systeemupdates meer.

[fapkonijntje]

Met de kanttekening dat je voor de overgrote meerderheid die ook niet nodig hebt hij Android omdat er een fors deel via de play store bijgewerkt kan worden. Veel van dit soort issues bij Apple zijn gevaarlijk omdat ze via apps om mee naar buiten te communiceren te misbruiken zijn. Denk aan Safari en iMessage. Die apps zitten ingebakken in het OS en kennen maar beperkte beveiliging, iMessage heeft dit jaar pas een sandbox gekregen vanwege de vele lekken. Ook moet het hele OS bijgewerkt worden om iets te fixen.

Android webview en andere browsers en basis apps (messenger/Gmail) op Android zijn veel meer los van het OS en meer beveiligd met onder andere een goede sandbox en daardoor veel sneller te updaten zonder een systeemupdate. Of dit soort issues sneller opgelost worden dan bij de concurrentie is erg kort door de bocht en in de meerderheid van de gevallen tegenwoordig nog onjuist ook. Google heeft hard aan de veiligheid van Android gewerkt met ondersteuning van onder andere Samsung. Doen alsof iOS de veiligere optie is betekent dat je de afgelopen 2 jaar niet opgelet hebt.

[testaankoop]

Oef, wat een flamewars weer zeg.

Zowel Android als iOS hebben veel gedaan aan veiligheid en updates. Ja, er werden voor Android bijna drie meer meer vulnerabilities gevonden dan voor iOS maar op iOS werden de meeste gevonden waarbij kwaadaardige code uitgevoerd kon worden.

Zowel primair Android als iOS zijn niet wezenlijk veiliger dan elkander. Dat kunnen we wel vaststellen denk ik.

Maar er valt wel iets te zeggen voor het argument dat Android/Google niet de fabrikant is. En dat door al de externe spelers (fabrikant telefoon, fabrikant SOC, fabrikant camera module, vele verschillende softwareontwikkelaars in de vorm van skins, launchers, adware enz), je inherent méér risico loopt dan bij iOS, waar een verticaal distributiemodel wordt gehanteerd.

Nu, dat is géén waardeoordeel, immers, er zijn fabrikanten die de boel aantoonbaar netjes voor elkaar hebben. Het systeem kan dus prima werken. Maar ik vrees toch dat er meer zijn die er de kantjes vanaf lopen. En ik denk dat daarop gedoeld wordt.

Overigens: de update is niet een volledig nieuwe softwareversie, het is immers maar 128MB groot ipv enkele GB’s. Het lijkt misschien zo door het versienummer dat eraan geplakt wordt maar ik kan je geruststellen dat dit niet het geval is.

[Kevinns]

Die balans hangt ook af van in hoeverre je Apple/Google vertrouwt. Als die met jouw data aan de haal willen hebben ze vrij spel.

[Meiklokje]

Dat is toch bij iedereen het geval zo ook Microsoft Niks is op het internet safe hoe vaak je het ook dicht timmert. Ik wil eens weten wat Google en Microsoft gaan doen. Dat dit weer geen half jaar duurt om een gat te dichten in hun os.

[Frame164]

En zelfs zo'n datum zegt niet of het snel is of niet. Het is niet zo dat zodra een vulnerability ontdekt is, je direct de oplossing hebt. Ja, je kan snel patchen, maar dan is het echt net hetzelfde als een pleister plakken; je lost zo niet altijd het probleem op. Dus een goede oplossing, die flink doorgetest is en gereed is gemaakt voor wereldwijde roll-out kan even duren.

[Valinor]

Blijft toch irritant om vlak na de vorige update weer eentje te moeten installeren. Apple updates zijn niet de snelste tijdens de installatie.

[Reactie gewijzigd door Valinor op 28 juli 2024 00:24]

[johanneslol]

Zo erg is dat toch niet ? Ik update hem en ga onder de douche, wanneer ik terugkom is hij weer klaar,,

[Carlos0_0]

Op zich duurt het wel effe maar echter alleen de voorbereiding, maar op dat moment kan je jou toestel nog gebruiken.

Dus die herstart duurt inderdaad niet super lang, en anders gebruik je toestel effe niet paar min geen ramp.
Of je moet storingendienst ofzo hebben, maar dan is ook niet verstandig te doen.

[Verwijderd]

wees blij dat apple opzich update... wat is die moeite nou... liever dit dan om de maand updaten met een actief misbruikte kwetsbaarheid

[Valinor]

haha ja ik moet niet zeiken eigenlijk. 1 van de redenen dat ik naar Apple switchte was omdat ze vaak updaten en lang support geven.

[Verwijderd]

precies haha

[Naafkap]

Daar heb je een goed punt. Ik vind het goed dat Apple zo lang dit soort belangrijke beveiligingsupdates aanbiedt (8+ jaar) maar het installeren kost wel enkele minuten en dat is een nadeel.

[WhatsappHack]

Als je wanneer ie t aanbiedt kiest voor “vannacht”, dan installeert ie hem ‘s nachts zonder dat je er iets van merkt. In de ochtend is je telefoon gewoon operationeel en is t enige verschil dat ie bijgewerkt is

[Mastofun]

Door Corona zitten meer mensen thuis vast, lekker wat hacken denken ze dan? #sarcasm

[Meiklokje]

Bezie het positief. Door die prutsers komen gaten van een platform open te liggen. Wat wil je liever. Een apparaat wat je dag dagelijks gebruikt wat vol bugs zit wat nooit is ontdekt of een apparaat dat wordt geüpdatet. Hacken heeft ook een voordeel. Het is niet altijd criminaliteit wat er mee gemoeid is.

[Audione0]

Grappig dat Apple in het update scherm van de iphone alleen over een issue mbt tot Touch ID schrijft, en dat voor het gemak de kwetsbaarheid min of meer op een basale manier wegmoffeld, en alleen over een belangrijke beveiliging update schrijft zonder inhoudt.

Tweakers doet het juist andersom

[laptopleon]

‘Deze update bevat ook belangrijke beveiligingsupdates en wordt aanbevolen voor alle gebruikers.’

Verder laten ze in het midden waar het precies over gaat, om begrijpelijke redenen. Overigens staat in de database bij CVE-2021-30807 ook nog geen details dus het zou vreemd zijn als Apple dat wel zou doen.

[Frame164]

Er staat ook altijd bij waar je de complete info kunt vinden.

[mark777]

Kreeg net een waarschuwing dat ik mijn password moest veranderen apple. Heeft zeker hier mee te maken.

[Volkan1984]

Waarom is dat zo zeker?

[Mr. Freeze]

Klinkt meer als een phising poging.

[Frame164]

Hoe kreeg je die waarschuwing?

[TheSiemNL]

Dat ze die accu maar eens wat langer mee laten gaan. Sinds 2 updates kan ik nog geen dag meer doen op een volle accu op een 12Pro van 7 maanden oud.

[Smobbo]

Ah, gelukkig! Ik dacht dat ik iets had aangepast waardoor het ontgrendelen van m’n Apple Watch niet meer automatisch ging. Blijkbaar een bug !
Snel ff de update erop zetten!