CVE-2021-30858

Apple iOS, iPadOS, and macOS

ВЕРОЯТНОСТЬ 0.8%
Дата обнаружения

2021-11-03

Официальное описание

Apple iOS, iPadOS, and macOS WebKit contain a use-after-free vulnerability that leads to code execution when processing maliciously crafted web content. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.

🛡️
Технический анализ и план устранения

Суть уязвимости

Уязвимость типа «использование после освобождения» (use-after-free) в компоненте WebKit. Злоумышленник может создать специальную веб-страницу, которая при открытии в уязвимом браузере или приложении, использующем WebKit, приводит к выполнению произвольного кода на устройстве жертвы. Это позволяет получить полный контроль над системой.

Как исправить

Установите официальные обновления безопасности от Apple, устраняющие эту уязвимость. Требуемые минимальные версии ПО:

  • iOS и iPadOS: 14.8 и новее, или 15 и новее.
  • macOS:
    • Big Sur: 11.6 и новее.
    • Catalina: Security Update 2021-005.
  • Safari: 14.1.2 и новее для macOS Catalina и Mojave.

Процедура обновления: 1. На устройстве Apple перейдите в Системные настройки > Обновление ПО (macOS) или Настройки > Основные > Обновление ПО (iOS/iPadOS). 2. Установите все предложенные обновления. 3. Перезагрузите устройство.

Для управления обновлениями в корпоративной среде (macOS) используйте softwareupdate:

# Скачать и установить все рекомендованные обновления
sudo softwareupdate --install --all --restart

Временное решение

Если немедленное обновление невозможно, примите следующие меры для снижения риска:

  1. Ограничение веб-контента:

    • Используйте браузер, не основанный на WebKit (например, Firefox или Chrome на Windows/Linux). Внимание: Chrome на iOS использует WebKit и остается уязвимым.
    • Включите режим «Запретить JavaScript» в настройках Safari (сильно ограничивает функциональность сайтов).
    • Используйте расширения для браузера, блокирующие выполнение скриптов (например, NoScript).

  2. Контроль доступа:

    • Настройте WAF (Web Application Firewall) или прокси-сервер на блокировку известных вредоносных шаблонов (exploit kits), которые могут использовать эту уязвимость.
    • Ограничьте доступ к недоверенным веб-сайтам с корпоративных устройств через DNS-фильтрацию или прокси-политики.

  3. Повышение осведомленности:

    • Проинструктируйте пользователей не переходить по ссылкам и не открывать вложения из непроверенных источников.
Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей