Apple brengt iOS 16.1 uit met fix voor zeroday

Apple heeft iOS 16.1 uitgebracht. In het nieuwe mobiele besturingssysteem wordt een zeroday gerepareerd. De out-of-bounds-writebug werd 'mogelijk' actief misbruikt, maar zoals gewoonlijk geeft Apple daar verder geen informatie over.

Apple schrijft op een updatepagina dat het iOS 16.1 en het bijbehorende iPadOS 16.1 heeft uitgebracht voor de iPhone 8 en voor de meeste moderne iPads. In de nieuwe iOS-versie zitten verschillende nieuwe features, waaronder Live Activiteiten die nu voor ontwikkelaars beschikbaar zijn. Ook kunnen gebruikers gedeelde library's maken in iCloud en wordt Apple Fitness+ voortaan ondersteund in het OS. Bovendien krijgen iOS-apparaten met het nieuwe OS ondersteuning voor de smarthomestandaard Matter.

In het OS worden meerdere kwetsbaarheden opgelost. De opvallendste daarvan is CVE-2022-42827, waarover nog geen gedetailleerde informatie beschikbaar is. Het gaat om een out-of-bounds-writekwetsbaarheid in de kernel van het besturingssysteem. Applicaties konden daarmee code uitvoeren op kernelniveau, schrijft Apple, maar het bedrijf geeft daar verder geen details over.

Apple zegt dat de kwetsbaarheid mogelijk actief uitgebuit is, al houdt het een slag om de arm. Ook daarover geeft Apple geen details, zoals het vrijwel nooit doet bij dergelijke kwetsbaarheden. De bug werd aangedragen door een beveiligingsonderzoeker die anoniem is gebleven.

Het is inmiddels de negende zerodaykwetsbaarheid die Apple in 2022 heeft opgelost in iOS. Eerder zaten er al kwetsbaarheden in de kernel en in WebKit. In iOS 16.1 worden ook vier andere kwetsbaarheden gerepareerd die iOS-apparaten kwetsbaar maken voor het uitvoeren van code op afstand. Een daarvan zit in de kernel, een andere in CFNetwork dat certificaten valideert, en twee kwetsbaarheden zitten in WebKit.

Kwetsbare component	CVE-registratie	Impact
AppleMobileFileIntegrity	CVE-2022-42825	Apps kunnen hiermee beschermde onderdelen van het bestandsssyteem aanpassen.
AVEVideoEncoder	CVE-2022-32940	Code uitvoeren met kernelrechten.
CFNetwork	CVE-2022-42813	Certificaatvalidatieprobleem waarbij aanvallers via een nagemaakt certificaat code kunnen uitvoeren.
Core Bluetooth	CVE-2022-32946	Apps kunnen audio afluisteren via aangesloten AirPods
GPU-drivers	CVE-2022-32947	Code uitvoeren met kernelrechten door hoe het geheugen wordt afgehandeld
IOHIDFamily	CVE-2022-42820	Memory-corruptionbug die apps kan afsluiten en code kan laten uitvoeren
IOKit	CVE-2022-42806	Race condition waarmee code kan worden uitgevoerd
Kernel	CVE-2022-32924	Apps konden code uitvoeren
Kernel	CVE-2022-42808	Out of bounds-write-bug waarmee kernelcode kan worden uitgevoerd
Kernel	CVE-2022-42827	Zeroday, out-of-bounds-write-bug
ppp	CVE-2022-42829	Use after free voor apps met rootpermissies
ppp	CVE-2022-42830	Use after free voor apps met rootpermissies
ppp	CVE-2022-42831 CVE-2022-42832	Race condition voor apps met rootpermissies
Sandbox	CVE-2022-42811	Apps konden gebruikersinformatie opvragen
Shortcuts	CVE-2022-32938	Parsing-bug waarmee shortcuts bepaalde paths konden opzoeken in het bestandssysteem
WebKit	CVE-2022-42799	Websites konden aan UI-spoofing doen
WebKit	CVE-2022-42823	Type confusion waarmee websites code konden uitvoeren
WebKit	CVE-2022-42824	Logic issue waarmee websites gebruikersinformatie konden aflezen
WebKit PDF	CVE-2022-32922	Use after free waarmee pdf's op websites code konden uitvoeren

Update: in het artikel stonden aanvankelijk niet de nieuwe functies van iOS. Die zijn inmiddels toegevoegd.

Reacties (53)

[Hunterbitch]

Gedeelde iCloud-fotobibliotheek

Afzonderlijke bibliotheek voor het naadloos delen van foto’s en video’s met maximaal vijf anderen
Wanneer je een bibliotheek configureert of deelneemt aan een bibliotheek kun je met configuratieregels gemakkelijk foto’s uit het verleden delen op basis van de begindatum of personen die op de foto staan
Bibliotheekfilters waarmee je snel de gedeelde bibliotheek, je persoonlijke bibliotheek of beide bibliotheken kunt weergeven
Met gedeelde bewerkingen en bevoegdheden kan iedereen foto’s toevoegen, bewerken, als favoriet instellen, van een bijschrift voorzien en verwijderen
Met de deeloptie in Camera kun je foto’s die je maakt rechtstreeks naar de gedeelde bibliotheek sturen of je kunt opgeven dat je de foto’s automatisch wilt delen wanneer via Bluetooth wordt gedetecteerd dat andere deelnemers in de buurt zijn
Live activiteiten

Live activiteiten van apps van derden zijn beschikbaar in het Dynamic Island en op het toegangsscherm voor iPhone 14 Pro-modellen
Wallet

Je kunt je autosleutel, je hotelkamersleutel en andere sleutels in Wallet veilig delen via berichtenapps als Berichten en WhatsApp
Woning

Ondersteuning voor Matter, de nieuwe connectiviteitsstandaard voor slimme woningen waarmee een breed scala aan slimme woningaccessoires tussen verschillende ecosystemen kunnen samenwerken
Boeken

Leesregelaars worden automatisch verborgen wanneer je begint met lezen
Deze update bevat ook probleem­oplossingen voor je iPhone:

Verwijderde gesprekken werden mogelijk weergegeven in de lijst met gesprekken in Berichten
Dynamic Island-materiaal was niet beschikbaar bij het gebruik van Bereikbaarheid
Er kon mogelijk geen verbinding worden gemaakt met CarPlay bij het gebruik van een VPN-app
Sommige functies zijn mogelijk niet in alle regio’s of op alle Apple apparaten beschikbaar. Informatie over de beveiligings­aspecten van software-updates van Apple vind je op deze pagina: https://support.apple.com/kb/HT201222

Bron: iCulture

Toch iets meer dan geen features.

[Maverick2001]

https://www.youtube.com/watch?v=rFVsqfyghIE&t=859s is ook een goede samenvatting van zo'n 30 features. Dit soort filmpjes vind ik wel heel intens maar wel handig om even snel alles te zien.

[Redondo77]

Persoonlijk vind ik Zollotech dan beter ;-)
iOS16.1: https://www.youtube.com/watch?v=BNA5udgAr4U

[lenwar]

Ik vind dat je het heel netjes verwoord.. Intens vind ik hier nogal een understatement. Wat een stem... . Het 'grappige' van dit soort filmpjes, is dat het veelal niks toevoegt dat het een filmpje is. Ze kunnen net zo goed een webpagina maken waar het in het kort wordt beschreven. Ik snap uiteraard dat men deze filmpjes maakt voor de reclameinkomsten, maar als je echt gewoon info wil hebben, geef ik toch altijd de voorkeur aan een webpagina.

[Maverick2001]

Vind het soms wel fijn om snel te zien waar de instellingen zitten zonder alle tekst te lezen maar begrijp je helemaal. Ik kan hier gewoon niet 20 minuten naar kijken, dat is teveel voor mijn brein

[lenwar]

Het is helaas de huidige tijd denk ik dan maar. Mogelijk wordt het gedrag gevoed door het algoritme van Youtube? Net zoals die achterlijke plaatjes van filmpjes dat je iemand met een gek gezicht ziet en een telefoon in z'n/d'r hand of zo . Voor mij zijn dat soort plaatjes echt een reden om er niet op te klikken. Ik kan dat niet serieus nemen als iemand een gekke bek moet trekken om aandacht te krijgen.

[Mopperman]

Er zijn ook andere bugs gefixed - zo zou ook de screen flicker uit de iPhone13 gefixt moeten zijn...

[Silence]

Dat viel mij wel eens op, dacht altijd dat het aan mij lag

[Mopperman]

ik heb sinds kort de iPhone 13, en toen ik m kreeg was ios16 net uit.. ik was bang een doa te hebben tot ik las dat er meer problemen waren Ben nu de update aan het doen om te zien of het opgelost is.

[Winduss]

De interface om achtergronden te veranderen is ook veranderd en je kunt nu makkelijker de ene achtergrond veranderen zonder de andere ook te moeten aanklikken.

[TijsZonderH]

Inderdaad iets te vroeg op publiceren gedrukt, die features zitten er natuurlijk wel in en heb ik toegevoegd.

[RefriedNoodle]

Dit is dus de eerste release van versie 16 voor iPad's? Of heb ik het hoofdartikel daarover gemist? Want een major release van iPadOS wordt hier nu genoemd als bijzin in een artikel over een minor upgrade van iOS.

[Erik1337]

Yup. iPadOS 16 bleef eerst in beta hangen en de eerste public release is iPadOS 16.1:

https://www.gkgigs.com/ipados-latest-version/#iPadOS_16

[Kecin]

Oh. Ik als nieuwsubmitter van dit dacht alleen dat het om iOS ging. iPad maar even gaan updaten binnenkort.

[Aalard99]

Ja eens, zover ik wist was de 16.x release nog niet uitgekomen voor de iPads.

[Olaf van der Spek]

Apple heeft iOS 16.1 uitgebracht. In het nieuwe mobiele besturingssysteem wordt een zeroday gerepareerd. De out-of-bounds-writebug werd actief misbruikt, maar zoals gewoonlijk geeft Apple daar verder geen informatie over.

Zit deze bug ook in iOS 15?

[Railgunner]

Goede vraag! Ik ben ook benieuwd of er nog een update voor iOS 15 komt waar deze securityfixes in zitten of dat je nu toch moet upgraden naar iOS 16.

[lazershark]

Ik vind het altijd wat vreemd die zin van Apple: "werd mogelijk actief misbruikt". Was is dat voor onzin?

Er zijn maar twee mogelijkheden, ofwel weet je dat het actief misbruikt werd, ofwel niet.
Als je weet, zeg dan: "werd actief misbruikt".
Als je het niet weet, zeg dan "Apple heeft geen bewijs dat deze kwetsbaarheid actief misbruikt werd".

Lijkt mij eerder iets van: werd zeker actief misbruikt, maar we willen onze reputatie niet schaden, dus laten we het maar in het midden.

[Jerie]

Dat is een insinuatie van jouw kant.

In de journalistiek geldt dat 1 bron geen bron is. Het zou kunnen zijn dat Apple van 1 bron heeft vernomen dat, maar dat niet zelf onafhankelijk heeft kunnen verifiëren.

Het scenario dat jij schetst is evenwel mogelijk. We weten het simpelweg niet.

[Vyo]

"We weten niet of het gebruikt werd, maar nu we weten wat de exploit en de oplossing zijn is dit een stille hint dat je dat moet nakijken (we willen alleen geen aansprakelijkheid)"

[Heineken]

Volgens Apple is er wel nieuwe functionaliteit toegevoegd:

Deze update voegt de gedeelde iCloud-fotobibliotheek toe, waarmee je eenvoudig je familiefoto's up-to-date kunt houden. Deze versie voegt ook ondersteuning toe voor apps van derden in live activiteiten en bevat andere functies en probleemoplossingen voor je iPhone.

[SpekkieB]

Huh? Geen nieuwe features?
Op Reddit en Iphoned vermelden ze wel nieuwe features?
https://www.reddit.com/r/.../ycgz6i/ios_161_released/

Vooral de fitness+ lijkt me een leuke feature om toch wel te vermelden .

[Reactie gewijzigd door SpekkieB op 27 juli 2024 03:19]

[Luuk2015]

Vooral de fitness+ lijkt me een leuke feature om toch wel te vermelden .

Helaas hebben de meeste van ons daar niets aan, omdat de app nog steeds niet beschikbaar is in NL en BE.

[SpekkieB]

Ahh dat is jammer... Heb ik dan volgensmij overheen gelezen, was een leuke toevoeging geweest

[ReneAP]

Zo te zien is het item Calorieën erbij gekomen.

[Loller1]

Apple schrijft op een updatepagina dat het iOS 16.1 en het bijbehorende iPadOS 1.6 heeft uitgebracht voor de iPhone 8 en nieuwe en voor de meeste moderne iPads. In de nieuwe iOS-versie zitten geen nieuwe features, maar worden wel meerdere kwetsbaarheden opgelost.

Deze 2 zinnen zijn een oprecht knappe prestatie van fouten. Applaus.

- Het is iPadOS 16.1, niet 1.6.
- "iPhone 8 en nieuwe"?
- En iOS 16.1 bevat wel degelijk verschillende nieuwe features

De gelinkte pagina duid dan ook heel duidelijk aan dat het om de "security content" gaat van iOS 16.1 en iPadOS 16.1, en niet over de gehele updates zelf.

[Sprenkelaar]

iPadOS 16, niet 16.1. Dus dat klopt als je de punt wegdenkt

[Loller1]

Nee, het is iPadOS 16.1. Het is de eerste versie van iPadOS 16, maar het is versie 16.1.

[Reactie gewijzigd door Loller1 op 27 juli 2024 03:19]

[Sprenkelaar]

Inderdaad, ben weer wat wijzer. Inmiddels is het artikel ook bijgewerkt

[bartje]

ik weet dat het om een security release gaat, maar ik zie wijzigingen in BT.
weet iemand of dit het probleem verhelpt waar ik 3 keer per dag bij BT uit en in moet schakelen om automatisch verbinding te kunnen maken?

[MegaCookie]

Nu is eindelijk ook de batterij-indicator met het percentage aangepakt, zodat nu ook zelf het batterij-icoontje visueel leegloopt: https://www.macrumors.com...a-2-battery-charge-level/

[Audi-Arjan]

Heb een iphone 13 mini en zie nu ook het batterij percentage in het batterij icoontje.
Dat was voorheen aan de grotere modellen voorbehouden volgens mij.