Apple conferma che gli aggiornamenti di sicurezza di WebKit interrompono la navigazione su alcuni siti

Apple ha confermato oggi che gli aggiornamenti di sicurezza di emergenza rilasciati lunedì per risolvere un bug zero-day sfruttato negli attacchi interrompono anche la navigazione su alcuni siti web. Presto ne verranno rilasciati di nuovi per risolvere questo problema noto, afferma la società.

Sebbene Apple non abbia spiegato perché ai siti Web interessati è stato impedito di eseguire correttamente il rendering, secondo quanto riferito, ciò è accaduto dopo che il rilevamento dell'agente utente di alcuni servizi (ad esempio Zoom, Facebook e Instagram) si è interrotto e ha causato l'inizio della visualizzazione di errori in Safari su patch. dispositivi.

Ad esempio, dopo aver applicato gli aggiornamenti RSR su un dispositivo iOS, il nuovo agente utente contenente una stringa "(a)" è "Mozilla/5.0 (iPhone; CPU iPhone OS 16_5_1 come Mac OS X) AppleWebKit/605.1.15 (KHTML, come Gecko) Version/16.5.2 (a) Mobile/15E148 Safari/604.1", che impedisce ai siti Web di rilevarlo come una versione valida di Safari, visualizzando così i messaggi di errore del browser non supportato.

"Apple è a conoscenza di un problema in cui le recenti risposte rapide di sicurezza potrebbero impedire la corretta visualizzazione di alcuni siti Web", afferma la società in un documento di supporto rilasciato martedì.

"Rapid Security Responses iOS 16.5.1 (b), iPadOS 16.5.1 (b) e macOS 13.4.1 (b) saranno presto disponibili per risolvere questo problema."

Sui dispositivi iPhone o iPad, puoi farlo toccando "Rimuovi risposta di sicurezza" e quindi toccando "Rimuovi" per confermare da Impostazioni > Informazioni > Versione iOS.

Gli utenti Mac possono rimuovere gli aggiornamenti RSR aprendo il menu  e facendo clic su Ulteriori informazioni in "Informazioni su questo Mac".

Una volta lì, devi fare clic sul pulsante Info (i) accanto al numero di versione in macOS, quindi fare clic su "Rimuovi" e "Riavvia".

macOS 13.4.1 (a) patch RSR

Il difetto zero-day (tracciato come CVE-2023-37450) è stato trovato nel motore del browser WebKit di Apple e consente agli aggressori di ottenere l'esecuzione di codice arbitrario inducendo gli obiettivi ad aprire pagine Web contenenti contenuti creati in modo dannoso.

"Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato sfruttato attivamente", ha affermato la società negli avvisi iOS e macOS che descrivono la vulnerabilità CVE-2023-37450 corretta negli aggiornamenti di sicurezza di emergenza di ieri.

"Questa risposta rapida alla sicurezza fornisce importanti correzioni di sicurezza ed è consigliata a tutti gli utenti", ha avvertito Apple ai clienti sui dispositivi in cui sono state consegnate le patch RSR.

Dall'inizio dell'anno, Apple ha corretto un totale di dieci difetti zero-day sfruttati in natura per hackerare iPhone, Mac o iPad.

Ad esempio, all'inizio di questo mese, Apple ha affrontato tre zero-days (CVE-2023-32434, CVE-2023-32435 e CVE-2023-32439) sfruttati in attacchi per installare lo spyware Triangulation su iPhone tramite exploit zero-click di iMessage.

Prima di allora, la società ha anche patchato:

    Altri tre giorni zero (CVE-2023-32409, CVE-2023-28204 e CVE-2023-32373) a maggio, i primi segnalati dai ricercatori di Amnesty International Security Lab e Google Threat Analysis Group e probabilmente utilizzati per installare spyware mercenario.

    Altri due zero-day (CVE-2023-28206 e CVE-2023-28205) ad aprile sono stati utilizzati come parte di catene di exploit di falle zero-day e n-day di Android, iOS e Chrome per distribuire spyware su dispositivi appartenenti a -obiettivi di rischio.

    e un altro WebKit zero-day (CVE-2023-23529) a febbraio, sfruttato per ottenere l'esecuzione di codice su iPhone, iPad e Mac vulnerabili.