אפל תיקנה בעיה באופן שבו Safari ניהל cookies, שאפשרה לתוכן אינטרנט שנבנה במיוחד להריץ סקריפט בהקשר של אתר אחר. הציון הוא 6.3 מתוך 10, נמוך מזה של חולשות הרצת קוד, ובכל זאת אפל מסרה שלפי דיווח שהגיע אליה ייתכן שהחולשה נוצלה בפועל במחשבי Mac מבוססי Intel. התיקון נמצא ב-Safari 18.1.1, ב-iOS וב-iPadOS 17.7.2 ו-18.1.1, ב-macOS Sequoia 15.1.1 וב-visionOS 2.1.1.

מה החולשה?

כדי להבין את זה צריך להתחיל ב-cookie. זו פיסת מידע קטנה שאתר מבקש מהדפדפן לשמור ולהחזיר לו בכל פנייה הבאה, וזה המנגנון שזוכר שאתם מחוברים לחשבון בלי להקליד סיסמה בכל לחיצה. מכאן נובע הכלל שכל הבניין עומד עליו: ה-cookie של אתר אחד אסור שיגיע לידיו של אתר אחר, ואסור שקוד של אתר אחד ירוץ בשמו של אתר אחר.

אפל מתארת את החולשה כבעיה בניהול cookies שנסגרה בניהול מצב משופר. כלומר הדפדפן החזיק את המידע על מי שייך למה, והמידע הזה בלבל בין ההקשרים.

התוצאה היא מה שמכונה cross site scripting. כשסקריפט רץ בתוך דף, הוא מקבל את ההרשאות של אותו דף: לקרוא את מה שמוצג, לגשת למה שהדפדפן שמר עבור האתר ולפעול בשם המשתמש המחובר. כשתוכן זדוני מצליח להריץ סקריפט כאילו הוא חלק מאתר אחר, הוא מקבל את ההרשאות של האתר ההוא. לטכניקה הזאת קוראים הזרקת סקריפט בין-אתרי, וברשומה היא מסומנת CWE-79.

הציון כאן מסביר את עצמו דרך הווקטור, וכדאי לקרוא אותו נכון. שלושת סוגי הנזק מסומנים כנמוכים ולא כגבוהים, וגם נדרשת פעולה של המשתמש. נמוך אינו אומר לא מזיק, הוא אומר חלקי: התוקף אינו מקבל את המכשיר, הוא מקבל דריסת רגל בתוך אתר מסוים שאתם מחוברים אליו.

מי מושפע?

כל מי שמריץ Safari בגרסה שלפני 18.1.1. באייפון ובאייפד מדובר בכל מה שלפני 17.7.2, וגם בענף 18 מ-18.0 ועד 18.1.1. ב-Mac מושפע macOS Sequoia מ-15.0 ועד 15.1.1, וב-Apple Vision Pro כל מה שלפני visionOS 2.1.1.

החשיפה המעשית כאן נגזרת מהרגלי השימוש ולא מהדגם. מי שגולש כשהוא מחובר לחשבונות, לדואר, לרשת חברתית או לממשק בנק, הוא זה שיש לו מה להפסיד מחולשה שעובדת דרך ההקשר של אתר. בישראל Safari הוא דפדפן ברירת המחדל בכל אייפון ואייפד, כך שגם מי שלא בחר בו במודע משתמש בו.

הניצול שדווח עליו, לעומת זאת, מצומצם בהרבה: הוא נוגע למחשבי Mac עם מעבד Intel.

האם מנוצלת בפועל?

כן, לפי דיווח שאפל מצטטת. אפל כתבה שהיא מודעת לדיווח לפיו ייתכן שהחולשה נוצלה בפועל במערכות Mac מבוססות Intel. זה ניסוח זהיר, הוא של אפל, והוא נשאר כאן כפי שנאמר.

קטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA מרכז חולשות שידוע כי תוקפים עושים בהן שימוש, וחולשה זו נכנסה אליו ב-21 בנובמבר 2024, עם מועד יעד לטיפול בגופים הפדרליים ב-12 בדצמבר 2024. הכניסה לקטלוג היא מה שמעלה חולשה בציון 6.3 לראש סדר העדיפויות, שכן ציון מודד נזק אפשרי ואילו הקטלוג מתעד שימוש ממשי.

מה עושים?

1. עדכנו את המכשיר. באייפון ובאייפד: הגדרות, כללי, עדכון תוכנה. היעד הוא 18.1.1 בענף 18, או 17.7.2 במכשיר שנשאר בענף 17.

2. ב-Mac היעד הוא macOS Sequoia 15.1.1, דרך תפריט אפל, הגדרות מערכת, כללי, עדכון תוכנה. ב-Safari שמתעדכן בנפרד היעד הוא 18.1.1, וב-Apple Vision Pro היעד הוא visionOS 2.1.1.

3. אם השתמשתם ב-Mac עם מעבד Intel, כלומר בדיוק במכשירים שהדיווח על ניצול מתייחס אליהם, שקלו אחרי העדכון לצאת מהחשבונות החשובים ולהתחבר אליהם מחדש. חולשה שעובדת על ההקשר של אתר נוגעת בדיוק במה שמחזיק אותכם מחוברים, והתחברות מחדש מחליפה אותו. זו זהירות, לא אינדיקציה שמשהו קרה אצלכם.

4. פרטי הגרסאות לכל מכשיר מרוכזים בהודעות האבטחה של אפל.