Apple on julkaissut iOS 26.7.1:n, iPadOS 26.7.1:n, macOS Tahoe 26.7.1:n ja macOS Sequoia 15.8.1:n korjatakseen tietoturvahaavoittuvuuden, jota Applen arvion mukaan käytettiin kohdennetuissa hyökkäyksissä. Haavoittuvuus vaikuttaa CoreGraphicsiin, järjestelmäkehykseen, jota käytetään grafiikka- ja kuvasisällön käsittelyyn.

Applen tietoturvatiedotteiden mukaan haitallisesti muotoiltu tiedosto saattoi aiheuttaa CoreGraphicsissa kirjoituksen muistin rajojen ulkopuolelle. Hyökkäyksen onnistunut hyödyntäminen saattoi antaa hyökkääjälle mahdollisuuden suorittaa mielivaltaista koodia haavoittuvassa laitteessa. Apple korjasi ongelman parantamalla ohjelmiston rajatarkistuksia.

Mitä Applen tietoturvapäivitykset korjaavat

Apple kuvailee ongelmaa CoreGraphics-haavoittuvuudeksi ja kertoo, että sitä hyödynnettiin ”erittäin kehittyneessä hyökkäyksessä” pientä vanhempia iOS-versioita käyttävien henkilöiden joukkoa vastaan. Yhtiö ei ole ilmoittanut hyökkäyksen olleen laajamittainen.

Koska haavoittuvuutta voitiin hyödyntää erityisesti luodun tiedoston kautta, haitallisen sisällön avaaminen saattoi riittää suojaamattoman laitteen vaarantamiseen. Applen tiedotteissa yksilöidään haavoittuvat tuotteet ja dokumentoidaan tietoturvakorjaus, mutta niissä ei anneta lisätietoja hyökkääjistä tai kohteeksi joutuneista henkilöistä.

  • iOS 26.7.1: korjaa CoreGraphicsin rajojen ulkopuolisen kirjoituksen ongelman.
  • iPadOS 26.7.1: sisältää saman tietoturvakorjauksen yhteensopiville iPad-malleille.
  • macOS Tahoe 26.7.1 ja macOS Sequoia 15.8.1: korjaavat haavoittuvuuden tuetuissa Maceissa.

Vaikuttaako haavoittuvuus uudempiin Applen käyttöjärjestelmiin?

Applen nykyiset käyttöjärjestelmäjulkaisut eivät vaikuta olevan alttiita tiedotteissa kuvatulle haavoittuvuudelle. Samanaikaisesti julkaistuille iOS 27.0.1-, iPadOS 27.0.1- ja macOS Golden Gate 27.0.1 -päivityksille ei ole julkaistu tätä ongelmaa koskevia CVE-merkintöjä.

Tämä erottelu viittaa siihen, että haavoittuvuus koskee ensisijaisesti käyttäjiä, jotka ovat edelleen Applen tietoturvatiedotteissa käsitellyissä vanhemmissa ohjelmistoversioissa. Uudemmille julkaisuille listatun merkinnän puuttuminen ei kuitenkaan poista tarvetta päivittää vanhempia tuettuja laitteita.

Miksi käyttäjien kannattaa päivittää heti

Applen ilmoitus tarkoittaa, että haavoittuvuutta koskevat tiedot ovat nyt julkisia. Vaikka alkuperäinen hyväksikäyttö oli rajattua ja erittäin kohdennettua, muut hyökkääjät voivat tutkia tietoja ja yrittää käyttää haavoittuvuutta laitteita vastaan, joihin korjauksia ei ole asennettu.

iOS 26:ta, iPadOS 26:ta, macOS Tahoea tai macOS Sequoiaa käyttävien tulisi asentaa soveltuva päivitys mahdollisimman pian. Laitteiden pitäminen ajan tasalla pienentää haitallisten tiedostojen aiheuttamaa riskiä ja varmistaa, että CoreGraphicsin rajatarkistuksen korjaus on käytössä.