Čo sa stalo
Apple opravil chybu s označením CVE-2024-27834 v jadre WebKit. WebKit poháňa prehliadač Safari a zobrazovanie webových stránok v systémoch iOS, iPadOS, macOS, tvOS a watchOS. Opravu vydal 13. mája 2024 v aktualizáciách Safari 17.5, iOS a iPadOS 17.5, iOS a iPadOS 16.7.8, macOS Sonoma 14.5, tvOS 17.5 a watchOS 10.5. Chybu objavil výskumník Manfred Paul v spolupráci s programom Zero Day Initiative spoločnosti Trend Micro.
Podľa Apple môže útočník, ktorý už dokáže ľubovoľne čítať a zapisovať do pamäte zariadenia, obísť ochranu nazývanú Pointer Authentication. Americká agentúra CISA zaradila chybu 4. novembra 2026 do svojho katalógu aktívne zneužívaných zraniteľností. Ako zneužívanú ju od rovnakého dňa vedie aj európska databáza zraniteľností EUVD agentúry ENISA (záznam EUVD-2024-25027). Kto chybu zneužíva a proti komu, zatiaľ nikto verejne neuviedol.
Oprava je teda dostupná už vyše dva roky. Ak sú vaše zariadenia priebežne aktualizované, ste chránení. Riziko sa týka hlavne zariadení, ktoré sa dlho neaktualizovali alebo už aktualizácie nedostávajú.
Prečo je to nebezpečné
Moderné čipy Apple majú ochranu Pointer Authentication. Zjednodušene: dôležité odkazy v pamäti, napríklad adresa, kam má program pokračovať, dostanú kryptografický podpis, niečo ako pečiatku. Ak útočník adresu podvrhne, pečiatka nesedí a systém program zastaví. Chyba CVE-2024-27834 umožňuje túto kontrolu obísť.
Sama osebe táto chyba útočníkovi dvere neotvorí. Apple výslovne uvádza, že útočník už musí vedieť ľubovoľne čítať a zapisovať do pamäte, čo zvyčajne získa inou chybou. Je to ako paklúč na druhý zámok: prvý zámok musí prekonať niečím iným. Útočník ju teda môže využiť len ako jeden krok v reťazci viacerých chýb.
NVD hodnotí chybu skóre CVSS 5,5 z 10, teda strednou závažnosťou. CVSS je medzinárodná stupnica závažnosti zraniteľností. Podľa vektora od NVD ide o lokálny útok s nízkymi oprávneniami, bez potreby súčinnosti používateľa, a ohrozená je hlavne integrita systému. NVD chybu zaraďuje do kategórie CWE-287, nesprávne overenie totožnosti.
Dôležitejšie než skóre je, že chyba je v katalógu CISA KEV. Je to zoznam zraniteľností, pri ktorých má americká agentúra CISA dôkazy o reálnom zneužívaní. Federálne úrady v USA túto chybu musia opraviť do 18. novembra 2026. Či chybu využívajú ransomvérové skupiny, CISA zatiaľ neuvádza.
Skóre EPSS, ktoré odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, je približne 0,6 %. Pri chybe, ktorá je už v KEV, má však potvrdené zneužívanie väčšiu váhu než tento odhad.
Koho sa to týka
Dotknuté sú zariadenia Apple so staršími verziami softvéru, než sú tieto:
- Safari 17.5 na macOS Monterey a macOS Ventura
- macOS Sonoma 14.5
- iOS a iPadOS 17.5
- iOS a iPadOS 16.7.8 pre staršie zariadenia
- tvOS 17.5 (Apple TV HD a Apple TV 4K, všetky modely)
- watchOS 10.5 (Apple Watch Series 4 a novšie)
Vo firmách ide hlavne o služobné iPhony a iPady, MacBooky a iMacy zamestnancov, ale aj o Apple TV v zasadačkách. WebKit zobrazuje webový obsah nielen v Safari, ale aj v mnohých aplikáciách, ktoré v sebe otvárajú webové stránky.
Chyba je v softvéri Apple. Počítače s Windows či Linuxom a telefóny s Androidom sa jej netýkajú. Netýka sa ani zariadení Apple, ktoré už majú uvedenú alebo novšiu verziu systému.
Ako zistiť, či ste zasiahnutí
Na Macu zistíte verziu systému a Safari v aplikácii Terminál týmito príkazmi. Oba príkazy len čítajú údaje a nič nemenia.
sw_versdefaults read /Applications/Safari.app/Contents/Info.plist CFBundleShortVersionString- Mac bez Terminálu: menu Apple > O tomto Macu
- iPhone a iPad: Nastavenia > Všeobecné > Informácie, položka verzie iOS alebo iPadOS
- Apple TV: Nastavenia > Všeobecné > Informácie
- Apple Watch: aplikácia Watch na iPhone > Všeobecné > Informácie
Ak zariadenia spravujete cez MDM (napríklad Microsoft Intune alebo Jamf), pozrite si inventár a vyfiltrujte zariadenia so staršími verziami, než sú opravené.
Ako to opraviť
Apple neuvádza žiadne dočasné riešenie, jedinou ochranou je aktualizácia. Opravené verzie sú len minimum. Odporúčame nainštalovať najnovšiu verziu, ktorú zariadenie podporuje, pretože obsahuje aj neskoršie bezpečnostné opravy.
- Spíšte všetky zariadenia Apple vo firme vrátane súkromných, z ktorých ľudia pristupujú k firemnej pošte a dátam.
- Najprv aktualizujte iPhony, iPady a Macy, na ktorých sa prehliada web a číta pošta: Nastavenia > Všeobecné > Aktualizácia softvéru, na Macu Systémové nastavenia > Všeobecné > Aktualizácia softvéru.
- Na macOS Monterey a macOS Ventura nainštalujte aspoň Safari 17.5, ideálne aj novší systém.
- Staršie iPhony a iPady, ktoré nepodporujú iOS 17, aktualizujte aspoň na iOS alebo iPadOS 16.7.8.
- Potom aktualizujte Apple TV na tvOS 17.5 alebo novší a Apple Watch na watchOS 10.5 alebo novší.
- Zariadenia, ktoré už aktualizácie nedostávajú, vyraďte alebo ich odpojte od firemných účtov.
V MDM môžete nastaviť minimálnu povolenú verziu systému. Zariadeniam so starším systémom tak zablokujete prístup k firemnej pošte a dátam, kým sa neaktualizujú.
Čo ak už ste mohli byť napadnutí
Apple ani CISA zatiaľ nezverejnili konkrétne indikátory napadnutia, teda stopy, podľa ktorých by sa útok dal spoznať. Kontrola preto môže byť len všeobecná.
- Ktoré zariadenia dlho bežali na verziách starších, než sú opravené
- Neznáme profily v Nastavenia > Všeobecné > VPN a správa zariadení
- Neznáme zariadenia prihlásené k Apple ID alebo firemným účtom
- Neobvyklé prihlásenia do firemnej pošty a cloudu, napríklad Microsoft 365 alebo Google Workspace
Ak Apple niekomu vo firme pošle upozornenie na cielený útok, alebo ide o ľudí s citlivou funkciou, prizvite odborníka na forenznú analýzu mobilných zariadení. Pre takýchto ľudí zvážte aj režim Lockdown Mode. Pri podozrení meňte heslá k firemným účtom z iného, čistého zariadenia.
Zdroje
- About the security content of tvOS 17.5 - Apple Support ↗
- About the security content of Safari 17.5 - Apple Support ↗
- About the security content of watchOS 10.5 - Apple Support ↗
- About the security content of iOS 17.5 and iPadOS 17.5 - Apple Support ↗
- NVD CVE-2024-27834 ↗
- ENISA EUVD EUVD-2024-25027 ↗
- CISA Known Exploited Vulnerabilities ↗