Эксперты Google пролили свет на пятилетнюю 0-day в Safari

Эксперты Google пролили свет на пятилетнюю 0-day в Safari

Эксперты Google пролили свет на пятилетнюю 0-day в Safari

Новый отчёт исследователей из команды Google Project Zero раскрыл интересные подробности уязвимости в браузере Apple Safari, которая использовалась в атаках киберпреступников. Изначально разработчики устранили брешь в 2013 году, однако в декабре 2016-го баг вернулся.

CVE-2022-22620 — такой идентификатор получила уязвимость, ей также присвоили 8,8 балла по шкале CVSS. В середине февраля мы писали, что Apple устранила эту 0-day в системах iOS, iPadOS и macOS.

Это типичный баг некорректного использования динамической памяти (Use-After-Free, UAF) в компоненте WebKit. С помощью специально созданного веб-контента злоумышленник может выполнить произвольный код.

Теперь Мэдди Стоун из Google Project Zero пролила свет на подробности проблемы в безопасности:

«В этом случае уязвимость была полностью пропатчена ещё в 2013 году, когда появились первые данные о ней. Тем не менее спустя несколько лет она вернулась и была актуальна пять лет, прежде чем её закрыли в январе 2022 года».

Стоун также отметила, что такая ситуация имела место не только с Safari и подчеркнула необходимость уделять аудиту кода и патчам больше времени, чтобы избежать дублирования заплаток.

ФАС завела дело на Apple со штрафом до 4 млрд рублей

Федеральная антимонопольная служба возбудила дело против Apple: корпорация не выполнила предупреждение о предустановке российского программного обеспечения на iPhone и iPad. Теперь нежелание пускать отечественные сервисы в iOS может обойтись производителю в сумму до 4 млрд рублей.

Претензии ФАС начались с поисковой системы. На устройствах Apple по умолчанию был установлен иностранный поисковик, хотя российское законодательство требует обеспечить возможность использования сервиса из России или другой страны ЕАЭС.

В Apple позднее заявили, что добавили в обновлённую версию ПО возможность предустановки российского поисковика. Однако этого оказалось мало. По данным ФАС, компания так и не выполнила требования об установке на устройства национального мессенджера и отечественного магазина приложений.

Предупреждение Apple получила 1 июля. Поскольку требования остались невыполненными, ведомство перешло от просьб к делу. Если нарушение закона о защите конкуренции подтвердится, компании назначат штраф по КоАП РФ. Ранее сообщалось, что его размер может достигнуть 4 млрд рублей.

Тем временем правительство уже утвердило перечень российского ПО, обязательного к предустановке с 1 января 2027 года. В список для смартфонов и планшетов вошли RuStore, Max, «Яндекс Браузер», «Алиса AI», «ВКонтакте», «Госуслуги», Mir Pay, «Почта Mail.ru», 2ГИС и другие сервисы.

RSS: Новости на портале Anti-Malware.ru