Apple trekt Rapid Security Response-beveiligingsupdate voor WebKit-lek terug

Apple heeft de Rapid Security Response-updates voor iOS 16.5.1, iPadOS 16.5.1 en macOS Ventura 13.4.1 weer ingetrokken. De extra snelle beveiligingspatches zouden voor problemen met bepaalde websites zorgen. Het is niet duidelijk wanneer Apple de uiteindelijke versie uitbrengt.

De betreffende RSR-updates werden maandag uitgebracht en moesten een actief misbruikte kwetsbaarheid in de WebKit-browserengine verhelpen. Volgens MacRumors zorgde de updates daarentegen voor een compatibiliteitsprobleem waardoor gebruikers bij bezoek aan verschillende websites via Safari een foutmelding te zien kregen.

Gebruikers kunnen de update eventueel handmatig de-installeren via de instellingen, onder het tabblad over de versie van het betreffende besturingssysteem. RSR-updates zijn te herkennen aan de extra letter achter de versienaam, in dit geval iOS 16.5.1 (a), iPadOS 16.5.1 (a) en macOS 13.4.1 (a).

Volgens een lezer van MacRumors is de schrijfwijze van de speciale beveiligingsupdate dan ook gelijk de reden waarom Safari momenteel niet meer goed werkt. Ook Apples browser kreeg onlangs een RSR-patch om de WebKit-kwetsbaarheid te verhelpen en staat nu bekend als Safari 16.5.2.

Rapid Security Response-beveiligingsupdates zijn bedoeld als snelle patch om acute beveiligingsproblemen snel te verhelpen, zonder dat daar een algehele en veelal langdradige besturingssysteemupdate voor nodig is. Het updateconcept is opt-in, waarna Apple de RSR-updates automatisch installeert.

Reacties (30)

[theborgnl]

Oei, dus nu is de kwetsbaarheid bekend en ook dat de fix niet meer werkt. Soort van unsecurity through unobscurity?
Zal nogal een lastige beslissing zijn geweest; terug te trekken of wachten op de fix van de fix.

[Ventieldopje]

Waar baseer je dat op? Heb ik ergens overheen gelezen?

MacRumors: [...] Unfortunately, it appears that the updates changed the Safari user agent to include an (a), leading some websites to break.

Dit is volgens mij de reden waarom die websites het niet doen. Er word niet gerept over dat de hele fix niet zou werken. Sterker nog, de fix zelf lijkt niet eens de oorzaak dus.

[MrFax]

Maar waarom wordt de hele fix dan teruggedraaid, en niet alleen het probleem?

[watercoolertje]

Waar baseer je dat op?

Op het feit dat de (hele) update is terug getrokken? Terwijl ze ook een fix voor het (nieuwe) issue hadden kunnen maken.

Er word niet gerept over dat de hele fix niet zou werken.

Klopt maar hij is wel terug gedraaid dus in die zin werkt ie niet (meer).

[Ventieldopje]

Nee, je kán hem terugdraaien. Als je de fix nog hebt, werkt die gewoon.

[TheVivaldi]

Ik vraag me alleen af waarom ze dit niet beter hebben getest. Het credo hier is altijd “Apple heeft minder apparaten om op te testen, dus gaat er ook minder mis”. Safari werkt ook maar op een beperkt aantal Apple-apparaten, dus waarom hebben ze dit dan niet beter getest? Het is ook niet alsof we het hier over wat obscure sites hebben die breken; ik lees o.a. Instagram, Facebook en Zoom, dat zijn toch belangrijke sites die je moet testen.

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 13:45]

[Verwijderd]

ik lees o.a. Instagram, Facebook

Die security patch doet dus precies wat je zou verwachten, onveilige zaken wegpatchen

[Ventieldopje]

Omdat het probleem niet apparaat specifiek is? Dit zelfde probleem had kunnen voorkomen als Apple wel third-party hardware had.

Vind ook eerlijk gezegd niet dat het probleem bij Apple ligt, maar bij de website developers die op onjuiste / niet-robuuste wijze de user agent parsen. Iets wat sowieso van de zotten is overigens, daar je gebruik hoort te maken van feature flags (oa. met bijv modernizr).

[T-men]

Ik vraag me alleen af waarom ze dit niet beter hebben getest.

Met testen kun je hoogstens aantonen dat iets niet volgens de specificaties werkt. Je kunt nooit garanderen dat je alle fouten hebt gevonden.
Een wijsheid die elke developer en IT'er in zijn achterhoofd moet houden.

[Yzord]

De vraag is of de huidige patch wel de kwetsbaarheid dicht. Want dan laat ik hem nog even geïnstalleerd staan. Want vooralsnog heb ik geen issues ermee met websites zoals T.net of HWI.

[WhatsappHack]

Amen. Het enige waar ik tot nu toe een probleem mee heb gehad is Facebook. (Op MacOS, op iOS is het enkel verbeterd nu ze niet meer bewust aansturen op een verrote viewport voor afbeeldingen en Messenger. ). En daar kom ik niet zoveel, dus dat scheelt weer. En als het niet werkt: kwestie van de user-agent aanpassen en het werkt meteen weer. Die inconvenience tot Apple (of de websites) het oplost heb ik liever dan weer een lek terug te krijgen. Maar je kan sowieso niet downgraden/de patch de-installeren zo te zien.

[Yzord]

Patch kan je deinstalleren via de Info pagina.

Via Algemeen-Info-iOS-versie

[Reactie gewijzigd door Yzord op 22 juli 2024 13:45]

[WhatsappHack]

Ahhh ik zat te kijken op MacOS, op iOS zie ik de optie inderdaad wel staan.

[Yzord]

MacOS moet ook mogelijk zijn heb ik gelezen.

[gfive]

Nee lukt bij mij niet… alleen de info over de update geen deinstall optie

En jammer want 16.5.1 heeft mijn face id verkloot… werkt soms wel maar meestal niet… bij 16.5 no problem…

[Reactie gewijzigd door gfive op 22 juli 2024 13:45]

[WhatsappHack]

Hier hebben we het gister ook op Gathering over gehad. Je kan het dus dichter bij "huis" zoeken dan op MacRumors. https://gathering.tweaker...message/75895856#75895856

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 13:45]

[turkeyhakan]

Juist!

[m.z]

Doet me deels denken aan Microsoft Endpoint Manager, die uren en zelfs dagen later pas “begreep” wat hij nou aan moest met deze “a”-updates.

Ik vermoed dat Apple niet zo goed is met berichtgeving, gezien het achteraf moest aangepast worden door Microsoft, voordat MDM pas begreep wat daadwerkelijke geïnstalleerde update is, wat de versienummer en versie-build is.

[m.z]

Toevallig had ik het vandaag over deze rapid response, inclusief de normale updates. Niet om de inhoudelijk zin (zie nu pas dat hij teruggetrokken is), maar hoe laat meldingen komen vanuit Apple dat je je apparaat kritische updates heeft.

Begrijpelijk vanwege loadbalancing, maar (eerst zien hoe dit gaat werken) hopelijk gaat rapid response (dat maanden geleden belooft werd) hier verandering in brengen. Vooralsnog vindt ik het toch wat vreemd dat bij nogal kritische updates mensen soms dagen, zelfs weken later op de hoogte worden gebracht.

Nu voer ik zelf een dagelijks controle uit, en voer een beleid door, incl. notificaties (per mail), zodra er een update vrij komt.

Daarnaast, de MS Defender app (iOS) geeft, net als vandaag sneller een melding dat er een update klaar staat, dan Apple’s Nederlandse security site deze weergeeft (+ 24 uur vaak) of een notificatie geeft op het apparaat.

Kan me vaag herinneren dat zelfde Android sneller was notificaties, al is update-termijn/ondersteuning vaak wat matig.

[well0549]

Beginnen aardig op Microsoft te lijken (vroeger dan) met fixes die niet werken.

[ultimasnake]

Deze fix bevat een parameter in de 'User-Agent' waar bepaalde websites geen raad mee weten. Facebook/Instagram schijnt daarop een verkeerde conclusie te trekken welke browser het voor zich heeft.

Ik weet het niet 100% te herleiden maar had gelezen dat die sites zelfs denken IE of 'Windows 95' voor zicht te hebben

According to reports on the MacRumors forums, Facebook, Instagram, WhatsApp, Zoom, and other websites started giving a warning about not being supported on the Safari browser following the Rapid Security Response updates.

Heeft mijn inziens niets te maken met 'Het zijn van Microsoft' maar gewoon onjuiste user-agent afhandeling maar gezien zulke grote sites er issues mee heeft is de beslissing genomen deze in te trekken.

[Reactie gewijzigd door ultimasnake op 22 juli 2024 13:45]

[Bekers]

Op meer vlakken Ik hoor van onze developers al vaak dat Safari het nieuwe IE is om voor te ontwikkelen.

[Maurits van Baerle]

Het lijkt er wel op dat de laatste anderhalf jaar een andere koers in zijn geslagen en eindelijk weer aandacht geven aan Safari. Ik volg Jen Simmons (omdat wij een keer tegen een vervelend probleem aan liepen) en sinds zij begin vorig jaar een oproep deed om haar en haar team te benaderen met irritaties in WebKit is er enorm veel veranderd.

En het werk (en het verzoek om problemen te blijven melden) blijft doorgaan.

[Reactie gewijzigd door Maurits van Baerle op 22 juli 2024 13:45]

[Bekers]

Ow cool. Weet niet of ze dat hier al weten, maar ik zal het doorgeven. +1 voor de tip!

[Maurits van Baerle]

Graag gedaan, hou het WebKit Blog ook even in de gaten. Volgens mij is er het afgelopen jaar meer gedaan aan WebKit dan de vijf jaar ervoor.

[m.z]

Nou, deze anders aardig snel ingetrokken. Iets wat bij Microsoft niet altijd gebeurd en op meest ongelukkige momenten work-arounds moet toepassen omdat bijvoorbeeld het gehele besturingssysteem inzeep is geholpen/niet meer wilt op starten.

Uiteindelijk ben je vervolgens als beheerder soms het “werk” van Microsoft aan het doen, door de updates tegen te houden/in te trekken.

Enja, ik ben bewust van update-ringen, maar niet altijd verstandig met critical CVEs.

[Reactie gewijzigd door m.z op 22 juli 2024 13:45]

[Globefrotter]

Mijn iPad Pro geeft nog steeds aan dat er een ‘beveiligingsmaatregel beschikbaar’ is, maar wanneer ik op ‘software update’ klik ktijg ik de melding datiPadOS 16.5.1 up-to-date is.
De rode cirkel met de 1 erin wil maar niet verdwijnen…..

[smiba]

Moet zeggen dat ik dit wel echt vrij bizar vind, een update terughalen omdat een paar websites brakke browser user-agent support heeft dat we nu met een systeem waar een zero-day in bestaat moeten rondlopen.

Heb ook sinds vandaag voor de eerste keer ooit een segmention fault op com.apple.WebKit.WebContent, dus for all I know ben ik al geraakt door iets, toeval kan het zijn maar echt blij word ik er niet van.

[3R!K]

Rapid Security Response-beveiligingsupdates zijn bedoeld als snelle patch om acute beveiligingsproblemen snel te verhelpen

[erikmvh]

Intussen is 16.5.1(c) beschikbaar.