אפל סגרה חולשה שאפשרה לאפליקציה זדונית להשיג על המכשיר הרשאות גבוהות מאלה שניתנו לה. היא נוגעת לכל קו המוצרים: אייפון, אייפד, מק, שעון, Apple TV ו-Vision Pro. הציון הוא 10 מתוך 10, ואפל מסרה שידוע לה על דיווח לפיו ייתכן שהחולשה נוצלה בפועל נגד גרסאות אייפון שקדמו ל-17.2.

מה החולשה?

תוכנה מבקשת מהמערכת אזור זיכרון לעבוד בו, ומשחררת אותו כשהיא מסיימת. השחרור אומר למערכת שהאזור פנוי והיא יכולה למסור אותו למי שיבקש אחר כך. הבעיה מתחילה כשהתוכנה שחררה את האזור אבל נשאר אצלה מצביע אליו, והיא פונה לשם שוב בהמשך.

מה שהיא תמצא שם תלוי במי שקיבל את האזור בינתיים. וכאן נכנס התוקף לתמונה: אם הוא מצליח לתזמן את הדברים כך שהקוד שלו הוא זה שתופס את האזור המשוחרר, הוא קובע מה התוכנה תקרא משם, ולפעמים גם לאן היא תקפוץ. לסוג הזה של באג קוראים use after free, והרשומה מסמנת אותו כ-CWE-416.

מה שאפל מתארת כתוצאה הוא העלאת הרשאות. אפליקציה במכשיר אפל רצה בתוך גבולות שהמערכת מציבה לה, והחולשה מאפשרת לה לצאת מהם ולעשות דברים שלא אושרו לה.

כאן כדאי לציין פער ברשומה עצמה. הדירוג שניתן לה מתאר תקיפה מהרשת שאינה דורשת הרשאות ואינה דורשת פעולה של אף אחד, ומכאן הציון 10, בעוד שהטקסט של אפל מדבר על אפליקציה זדונית שרצה על המכשיר. שתי האמירות מופיעות באותה רשומה והיא אינה מיישבת ביניהן, ולכן אנחנו מציינים את שתיהן כפי שהן.

מי מושפע?

זו אחת הפעמים הבודדות שבהן דף כזה נוגע ישירות לקורא הפרטי ולא למי שמתחזק שרת. הרשימה ארוכה, ושווה למצוא בה את המכשיר שלכם:

באייפון, כל מה שקודם ל-18.3. באייפד, כל מה שקודם ל-17.7.6 וכן ענף 18 עד 18.3. במק, ענף 13 עד 13.7.5, ענף 14 עד 14.7.5 וענף 15 עד 15.3. ב-Apple TV, כל מה שקודם ל-18.3. ב-Vision Pro, כל מה שקודם ל-2.3. ובשעון, כל מה שקודם ל-11.3.

בישראל זה אומר בפועל חלק גדול מהציבור, כי אייפון הוא מכשיר נפוץ כאן. מי שמכשירו מתעדכן אוטומטית וכבר עבר את הגרסאות האלה מסודר, ומי שדחה עדכונים או מחזיק מכשיר שאינו נתמך עוד בענף העדכון החדש הוא מי שצריך לבדוק.

האם מנוצלת בפועל?

כן, ובניסוח זהיר שכדאי לשמור עליו. אפל עצמה כותבת שידוע לה על דיווח לפיו ייתכן שהחולשה נוצלה בפועל נגד גרסאות אייפון שקדמו ל-17.2. זו לא הצהרה נחרצת, היא מנוסחת כדיווח וכאפשרות, וכך היא מופיעה.

מה שכן נחרץ הוא הצעד של הרגולטור. ב-29 בינואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 19 בפברואר 2025 לרשויות הפדרליות בארצות הברית.

ויש כאן פרט שמסביר למה לא כדאי לדחות עדכונים. הניצול שדווח מכוון לגרסאות שקדמו ל-17.2, בעוד שהתיקון יצא ב-18.3. כלומר הדרך הייתה פתוחה לאורך כמה גרסאות לפני שנסגרה.

מה עושים?

עדכנו את המכשיר. אין כאן מעקף ואין הגדרה לשנות, והעדכון הוא כל התשובה.

באייפון ובאייפד: הגדרות, כללי, עדכון תוכנה. היעד הוא 18.3, ובאייפד ישן שאינו מגיע לענף 18, היעד הוא 17.7.6.

במק: תפריט אפל, הגדרות מערכת, כללי, עדכון תוכנה. היעד תלוי בענף שאתם עליו, 15.3 או 14.7.5 או 13.7.5.

בשעון: דרך אפליקציית Watch באייפון, בלשונית הכללי, עדכון תוכנה. היעד הוא 11.3. השעון דורש בדרך כלל טעינה ומכשיר קרוב כדי להשלים עדכון.

ב-Apple TV: הגדרות, מערכת, עדכוני תוכנה, והיעד הוא 18.3. ב-Vision Pro, היעד הוא 2.3.

ואם אתם מנהלים מכשירים של ארגון, זה המקום לוודא שהעדכון אושר במערכת הניהול ולא ממתין שם, כי במכשירים מנוהלים הגרסה נקבעת משם ולא על ידי המשתמש. פרטי העדכון מתפרסמים בהודעות האבטחה של אפל.