CVE-2022-48618
Apple Multiple Products
2024-01-31
Apple iOS, iPadOS, macOS, tvOS, and watchOS contain a time-of-check/time-of-use (TOCTOU) memory corruption vulnerability that allows an attacker with read and write capabilities to bypass Pointer Authentication.
Технический анализ и план устранения
Суть уязвимости
CVE-2022-48618 представляет собой критическую уязвимость типа TOCTOU (Time-of-Check to Time-of-Use), связанную с повреждением памяти в ядрах операционных систем Apple. Проблема локализована в механизме обработки указателей.
Злоумышленник, уже обладающий правами на чтение и запись в памяти (например, через эксплуатацию другой уязвимости), может использовать состояние «гонки» (race condition) между моментом проверки целостности указателя и моментом его использования. Это позволяет обойти технологию Pointer Authentication (PAC), которая предназначена для защиты целостности потока управления и предотвращения выполнения произвольного кода. Уязвимость фактически нивелирует аппаратную защиту процессоров Apple Silicon (A-серии и M-серии).
Как исправить
Основным и единственным надежным способом устранения данной уязвимости является обновление операционной системы до версий, в которых была улучшена проверка состояния памяти и исправлена логика обработки указателей.
Для проверки наличия обновлений и их установки используйте следующие команды или системные настройки:
Для macOS:
softwareupdate -l
softwareupdate -i -a
Для iOS / iPadOS / tvOS / watchOS: Перейдите в «Настройки» > «Основные» > «Обновление ПО» и установите доступные патчи.
Минимальные версии ОС с исправлением: * macOS Ventura 13.2 * macOS Monterey 12.6.3 * macOS Big Sur 11.7.3 * iOS 16.3 / iPadOS 16.3 * iOS 15.7.3 / iPadOS 15.7.3 * watchOS 9.3 * tvOS 16.3
Временные меры
Поскольку уязвимость эксплуатируется на уровне ядра и требует наличия предварительного доступа к чтению/записи памяти, специфических конфигурационных «патчей» без обновления системы не существует. Однако для снижения рисков рекомендуется:
- Соблюдать принцип наименьших привилегий (Least Privilege) для всех запускаемых процессов, чтобы предотвратить получение злоумышленником первичного доступа к памяти.
- Использовать режим Lockdown Mode (Режим блокировки) на устройствах Apple, если существует высокий риск таргетированной атаки. Это ограничивает функциональность системы, уменьшая поверхность атаки.
- Изолировать критически важные системы от прямого доступа в интернет и ограничить установку стороннего ПО из непроверенных источников.
- Настроить мониторинг системных логов на предмет аномального завершения процессов ядра (Kernel Panic), что может свидетельствовать о попытках эксплуатации TOCTOU.