Co Apple opublikował 27 lipca

Strony bezpieczeństwa Apple zapełniły się jednym blokiem 27 lipca. macOS Tahoe 26.6 ukazał się jako kompilacja 25G72 ze 155 unikalnymi oznaczeniami CVE, obok niego Safari 26.6. iOS 26.6 i iPadOS 26.6 wymieniły 78 odrębnych pozycji podatności powiązanych z 87 unikalnymi CVE. Aktualizacje watchOS, tvOS i visionOS 26.6 dołożyły kolejne 194 po usunięciu nakładania się między platformami.

Wymienione składniki czyta się jak spis całego systemu, a nie jak jeden słaby róg. W telefonie poprawki dotykają jądra, WebKit, łączności bezprzewodowej, Siri, App Store, MediaRemote, ImageIO, SceneKit, libc, CloudAttestation, Game Center, Dostępności i Kontaktów. Na Macu opisy są bardziej dosadne: luki, dzięki którym program mógł uzyskać uprawnienia administratora, wyjść ze swojego odizolowanego środowiska, obejść Gatekeeper, ominąć ustawienia prywatności albo sięgnąć po chronione dane.

Apple nie twierdzi, że którakolwiek z nich była wykorzystywana przed wydaniem aktualizacji, i żadna redakcja nie przedstawiła dowodu przeciwnego. Liczenie ich jest osobliwie trudne: publikacje branżowe pracujące na tym samym dokumencie Apple dochodzą do wartości od około 130 do 155, zależnie od tego, czy liczą pozycje, czy oznaczenia. Ten rozrzut to drobiazg, ale pokazuje, że spis napisano po to, by przeczytał go człowiek, a nie po to, by przetworzyło go narzędzie.

Siedem podejść to część warta przeczytania

Rzecz rozstrzygająca nie tkwi w liczbie CVE. macOS Sequoia 15.7.8 i macOS Sonoma 14.8.8 wyszły tego samego dnia i doszły do wydania dopiero po tym, jak Apple wypuścił siedem kandydatów do wydania. Piąty kandydat 13 lipca był już na tyle nietypowy, że opisano go jako rzadki sam w sobie. Potem pojawiły się jeszcze dwa.

Czytaj to jako sygnał inżynierski, a nie ciekawostkę. Kandydat do wydania to kompilacja, którą dostawca uważa za skończoną. Wypuszczenie siedmiu oznacza, że Apple wielokrotnie sądził, iż przeniesienie wstecz jest gotowe, i wielokrotnie odkrywał, że nie jest. Bieżąca gałąź, Tahoe, nie potrzebowała tego tam i z powrotem: napisano ją raz, przeciwko kodowi, dla którego poprawki powstały.

Razem Sequoia 15.7.8 i Sonoma 14.8.8 usuwają ponad 138 różnych podatności. Skala jest porównywalna z Tahoe. Różni się trud dowiezienia jej tam, a noty wydawnicze Apple dla obu starszych gałęzi mówią o tym niemal nic: podają jedynie, że chodzi o ważne poprawki bezpieczeństwa, zalecane wszystkim użytkownikom, którzy wciąż na nich pracują.

Argument o stabilności działa wstecz

Większość flot pozostających o wersję w tyle robi to świadomie. Rozumowanie jest znajome i zwykle rozsądne: niech regresje znajdą inni, trzymaj park na kompilacji, która jest w świecie dość długo, by stać się nudną, i aktualizuj, gdy firma ma spokojny tydzień. Zastosowana do funkcji ta logika się broni.

Zastosowana do poprawek bezpieczeństwa, 27 lipca ją odwraca. Starsza gałąź nie jest tą ustatkowaną. Jest tą, która wymagała siedmiu podejść, ponieważ przeniesienie wstecz to nie ta sama praca co poprawka: lukę znajduje się i naprawia w bieżącym kodzie, a potem przenosi wstecz do bazy kodu, która tymczasem poszła dalej. Każda wersja odstępu między twoim parkiem a pierwszą linią Apple to dystans techniczny, który ktoś musi pokonać pod presją czasu, a w tym miesiącu zajęło to siedem przebiegów.

Skutek drugiego rzędu dotyczy dowodu, a nie apetytu na ryzyko. NIS2 wymaga od objętych nią organizacji traktowania podatności jako udokumentowanego procesu, a nie jako przeczucia, a pytanie audytu rzadko brzmi, czy załatałeś. Brzmi ono: kiedy wiedziałeś, co zdecydowałeś i dlaczego. "Zostajemy o wersję w tyle dla stabilności" jest odpowiedzią do obrony tylko do chwili, w której zapis pokaże, że starsza gałąź dostaje poprawki wolniej i kruszej. W Polsce ten zapis czytają CERT Polska i NASK.

Kolejność prac na ten tydzień

Zacznij od maszyn już wystawionych, a nie od tych najłatwiej dostępnych. Wszystko, co używa Safari albo WebKit wobec stron bez zaufania, każdy Mac, na którym zwykłego użytkownika dałoby się wiarygodnie nakłonić do otwarcia spreparowanego pliku, oraz każde urządzenie poza siecią biurową należy do pierwszej fali. Obejścia Gatekeepera i ustawień prywatności ważą najwięcej na laptopach, które opuszczają budynek.

Potem zajmij się starszym parkiem uczciwie. Jeśli grupa Maków stoi na Sonomie albo Sequoi, bo sprzęt nie uniesie Tahoe, to fakt, który się planuje i kiedyś budżetuje, a nie postawa, której się broni. Jeśli stoją na starszej wersji z wyboru, to jest miesiąc, w którym trzeba zapytać, czy ten wybór wciąż kupuje to, co miał kupować.

Jedna rzecz do zapisania. Odnotuj datę opublikowania not oraz datę zaktualizowania każdej grupy urządzeń, ponieważ odstęp między tymi dwiema liczbami jest jedyną częścią tej sprawy, którą audyt zdoła później sprawdzić, i jedyną, którą sam kontrolujesz.

Czytaj dalej: Poprawka nginx jest, exploit pojawi się w sierpniu  |  Dwie luki w Cursorze z oceną 9.8 oddają maszynę programisty w ręce atakujących