דף אינטרנט שנבנה במיוחד יכול היה לגרום למכשיר אפל שפתח אותו להריץ קוד שהתוקף בחר. הציון הוא 8.8 מתוך 10. אפל מסרה שהיא מודעת לדיווח לפיו ייתכן שהחולשה נוצלה באופן פעיל במחשבי Mac מבוססי מעבד Intel, והתיקון נמצא ב-Safari 18.1.1, ב-iOS וב-iPadOS בגרסאות 17.7.2 ו-18.1.1, ב-macOS Sequoia 15.1.1 וב-visionOS 2.1.1.

מה החולשה?

דפדפן קיים כדי לפתוח תוכן שכתבו זרים. כל דף שנטען מגיע ממקור שאיש אינו בודק מראש, ולכן כל מה שהדפדפן עושה עם התוכן הזה בנוי מתוך הנחה שהוא עלול להיות עוין. הגבול הזה הוא כל ההגנה: הדף מצייר את עצמו בחלון, ושום דבר ממה שכתוב בו אינו אמור להפוך לפקודה שהמכשיר מריץ.

כאן הגבול נפרץ. עיבוד של תוכן אינטרנט שנבנה במיוחד הוביל להרצת קוד שרירותי, כלומר קוד שהתוקף בוחר, על המכשיר שפתח את הדף. אפל כותבת שהיא סגרה את זה בבדיקות משופרות, ניסוח שמלמד שמשהו בתוכן הנכנס לא נבדק כפי שהיה צריך.

מה שאפל לא אמרה שווה תשומת לב בעצמו. היא לא פירטה איזה סוג באג עומד מאחורי החולשה, וברשומה הרשמית אין סיווג למחלקת החולשה. המשמעות המעשית היא שאין כאן מה להוסיף על העובדה עצמה: תוכן אינטרנט הצליח לצאת מהתפקיד שלו.

שני פרטים מהווקטור מחדדים את התמונה. ראשית, נדרשת פעולה של המשתמש, כלומר מישהו צריך להגיע אל התוכן, וזו אינה חולשה שמופעלת מעצמה על מכשיר שמונח על השולחן. שנית, שלושת סוגי הנזק מסומנים כגבוהים, סודיות, שלמות וזמינות, וזו הדרך הפורמלית לומר שקוד שרץ בדרך הזאת יכול לקרוא, לשנות ולשבש. פתיחת דף היא פעולה שאנשים עושים עשרות פעמים ביום בלי לחשוב עליה.

מי מושפע?

הרשימה חוצה את כל משפחת המוצרים. ב-Safari מושפעת כל גרסה שלפני 18.1.1. ב-iPhone וב-iPad מושפע כל מה שלפני 17.7.2, וגם ענף 18 מגרסה 18.0 ועד 18.1.1. ב-Mac מושפע macOS Sequoia מ-15.0 ועד 15.1.1, וב-Apple Vision Pro כל מה שלפני visionOS 2.1.1.

בישראל, שבה נתח מכשירי אפל גבוה, מדובר בקהל גדול. מי שמחזיק אייפון או Mac שלא עודכן מאז נובמבר 2024 נמצא ברשימה הזאת.

ויש כאן אבחנה שחשוב לא לטשטש. הדיווח על ניצול בפועל נוגע למחשבי Mac עם מעבד Intel, כלומר לדגמים שלפני המעבר של אפל למעבדים משלה. החולשה עצמה רשומה על כל המכשירים שלמעלה, והניצול שדווח עליו צר ממנה. מי שמחזיק Mac ותיק עם מעבד Intel נמצא בנקודה שבה שני הדברים נפגשים.

האם מנוצלת בפועל?

אפל מסרה שהיא מודעת לדיווח לפיו ייתכן שהחולשה נוצלה באופן פעיל במערכות Mac מבוססות Intel. הניסוח מסויג, והוא של אפל, ולכן הוא נשאר כאן בצורתו.

ב-21 בנובמבר 2024 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בפועל. המועד שנקבע שם לגופים הפדרליים האמריקאיים לסיום הטיפול היה 12 בדצמבר 2024.

מה עושים?

1. עדכנו את האייפון או האייפד. הגדרות, אחר כך כללי, אחר כך עדכון תוכנה. אם אתם בענף 18 היעד הוא 18.1.1, ואם המכשיר נשאר בענף 17 היעד הוא 17.7.2. שתי הגרסאות תקפות, כל אחת לענף שלה.

2. ב-Mac: תפריט אפל, אחר כך הגדרות מערכת, כללי, עדכון תוכנה. היעד הוא macOS Sequoia 15.1.1. עדכון המערכת מביא איתו גם את Safari, שאינו מתעדכן בנפרד ממנה. אם מוצגת אצלכם גרסת Safari עצמאית, היעד שלה הוא 18.1.1.

3. אם יש לכם Mac ותיק עם מעבד Intel, תנו לו קדימות. זה המכשיר שהדיווח על ניצול בפועל מצביע עליו.

4. ב-Apple Vision Pro היעד הוא visionOS 2.1.1. רשימת הגרסאות המלאה מופיעה בהודעות האבטחה של אפל.