آبل تلاحق ثغرات "يوم الصفر" الأمنية على قدم وساق

استمع إلى المقال

أصدرت آبل تحديثات أمنية يوم الخميس لمعالجة ثغرتين من ثغرات يوم الصفر (Zero-day) استغلها المهاجمون لاختراق أجهزة آيفون وآيباد وماك.

وتُعرف أخطاء يوم الصفر الأمنية على أنها عيوب لا يعرفها مزوّد البرنامج ولم يتم تصحيحها. وفي بعض الحالات، تكون عبارة عن ثغرات لإثبات المفهوم (Proof-of-concept) متاحة للجمهور، وقد يتم استغلالها بنشاط في الفضاء الرقمي.

في تقارير أمنية نشرتها آبل نفسها يوم الخميس، قالت الشركة إنها على دراية بالتقارير التي تفيد بأنه “ربما تم استغلال المشكلات الأمنية بشكل نشط”.

الخَطآن الأمنيان هما مشكلة كتابة خارج الحدود (out-of-bounds write issue) (CVE-2022-22674) في محرك إنتل للرسوميات الذي يسمح للتطبيقات بقراءة ذاكرة “kernel” ومشكلة قراءة خارج الحدود (out-of-bounds read issue) (CVE-2022-22675) في وحدة فك ترميز الوسائط “AppleAVD” ستمكّن التطبيقات من تنفيذ تعليمات برمجية عشوائية بامتيازات “kernel”.

تم الإبلاغ عن الأخطاء بواسطة باحثين مجهولين وتم إصلاحها بواسطة آبل في أنظمة “iOS 15.4.1” و “iPadOS 15.4.1” و “macOS Monterey 12.3.1” مع تحسين التحقق من صحة الإدخال والتحقق من الحدود، على التوالي.

وشملت قائمة الأجهزة المتأثرة ما يلي:

أجهزة ماك التي تعمل بنظام “macOS Monterey”
آيفون 6s والإصدارات الأحدث
آيباد Pro (جميع الطُّرز) و آيباد Air 2 والإصدارات الأحدث وآيباد الجيل الخامس والإصدارات الأحدث وآيباد ميني 4 والإصدارات الأحدث و iPod touch الجيل السابع.

وكشفت شركة آبل عن استغلال هذه الأخطاء بشكلٍ نشط في الفضاء الرقمي، لكنها لم تنشر أي معلومات إضافية بخصوص هذه الهجمات.

ولكن من المحتمل أن يكون حجب هذه المعلومات هدفه السماح للتحديثات الأمنية بالوصول إلى أكبر عدد ممكن من أجهزة آيفون وآيباد وماك قبل أن يلتقط المهاجمون التفاصيل ويبدأون في إساءة استخدام ثغرات أيام الصفر التي تم تصحيحها الآن.

وعلى الرغم من أنه من المحتمل أن يتم استخدام ثغرات أيام الصفر هذه فقط في الهجمات المستهدفة، إلا أنه لا يزال يُنصح بشدة بتثبيت تحديثات الأمان اليوم في أقرب وقت ممكن لمنع محاولات الهجوم المحتملة.

ثغرات “أيام الصفر” التي صححتها آبل هذا العام فقط

في كانون الثاني/يناير، قامت آبل بتصحيح ثغرتين أكثر نشاطًا استغللا “أيام الصفر” التي يمكن أن تمكّن المهاجمين من تنفيذ تعليمات برمجية عشوائية بامتيازات “kernel” باسم (CVE-2022-22587) وتتبع نشاط تصفح الويب وهويات المستخدمين في الوقت الفعلي (CVE-2022- 22594).

وفي فبراير/شباط، أصدرت آبل تحديثات أمنية لإصلاح خطأ يوم الصفر جديد تم استغلاله لاختراق أجهزة آيفون وآيباد وماك، مما أدى إلى تعطّل نظام التشغيل وتنفيذ التعليمات البرمجيات عن بُعد على الأجهزة المخترقة بعد معالجة محتوى الويب الضار.

كما أثّرت هذه الأخطاء الثلاثة الأولى أيضًا على أجهزة آيفون (آيفون 6s والإصدارات الأحدث)، وأجهزة ماك التي تعمل بنظام “macOS Monterey”، وطرازات متعددة من آيباد.

وكان على الشركة أيضًا أن تتعامل مع تيار لا ينتهي تقريبًا من أخطاء أيام الصفر يتم استغلالها في استهداف الأجهزة العاملة بأنظمة iOS و iPadOS و macOS طوال عام 2021.

وتضمنت هذه القائمة أخطاءً متعددة استُخدم لنشر برنامج التجسس “بيغاسوس” التابع لشركة “NSO” الإسرائيلية على أجهزة آيفون التي يملكها صحفيون ونشطاء وسياسيون.

قد يهمك أيضًا: قتل الحريات عَبَر التّجسس ومراقبة الحقوقيين.. جريمة “بيغاسوس” التي لا تُغتَفر