آژانس امنیت سایبری و زیرساخت آمریکا که به اختصار CISA نامیده می شود، یک آسیب پذیری با شدت متوسط در چند سیستم عامل اپل را به فهرست آسیب پذیری های شناخته شده مورد سوءاستفاده یا همان KEV اضافه کرده است. دلیلش مشخص است. گزارش هایی منتشر شده که نشان می دهد مهاجم ها هم اکنون از این نقص استفاده می کنند.
جزئیات آسیب پذیری CVE-2024-27834
شناسه این آسیب پذیری CVE-2024-27834 است و در سیستم امتیازدهی CVSS نمره 5.5 گرفته. مشکل از احراز هویت نامناسب می آید. مهاجمی که از قبل امکان خواندن و نوشتن دلخواه در حافظه را دارد، با کمک این نقص می تواند مکانیزم امنیتی Pointer Authentication را دور بزند. اپل ماه مه 2024 آن را با چند به روزرسانی امنیتی برطرف کرد. این اصلاحیه ها شامل iOS 16.7.8 و iPadOS 16.7.8، نسخه 17.5 برای iOS و iPadOS و tvOS، macOS Sonoma 14.5، watchOS 10.5 و Safari 17.5 می شد. این آسیب پذیری قبل تر هم دیده شده بود؛ مارس 2024 در مسابقه Pwn2Own Vancouver به عنوان یک روز صفر نمایش داده شد.
ارتباط حملات با گروه هکری APT29
حالا سراغ مهاجم ها برویم. شرکت امنیتی Sekoia گزارش داده که مهاجمان احتمالاً مرتبط با روسیه، از آسیب پذیری های وصله شده Safari و Google Chrome برای پخش بدافزارهای سرقت اطلاعات استفاده کرده اند. این فعالیت ها با اطمینان متوسط تا بالا به گروه APT29 نسبت داده شده، همان گروهی که با نام های Cozy Bear و Midnight Blizzard هم می شناسیمش و به سرویس اطلاعات خارجی روسیه وابسته است.
روش‌های انتشار بدافزار و سرقت اطلاعات در اپل
برای نفوذ اولیه سه مسیر دیده شده. یکی وب سایت های قانونی که قبلاً هک شده اند. دومی سایت های جعلی که خودشان را جای سایت های معروف و معتبر جا می زنند. سومی هم حمله به زنجیره تأمین ابزار Plerdy SEO Tracker. روال کار تقریباً یکسان است: کد مخرب JavaScript اول مشخصات دستگاه بازدیدکننده را بررسی می کند، بعد آسیب پذیری را فعال می کند و آخرش بدافزار سرقت اطلاعات روی دستگاه هدف می نشیند. هدف این بدافزارها جمع آوری اطلاعات مرورگر و دستگاه است، از جمله داده های مربوط به کوکی ها.
مهلت هم تعیین شده. CISA از سازمان های اجرایی غیرنظامی دولت فدرال آمریکا خواسته اصلاحیه های لازم را حداکثر تا 18 نوامبر 2026 اعمال کنند.
به نظر من نکته اصلی ماجرا همین است که این نقص ماه ها پیش وصله شده بود، ولی هنوز کار مهاجم ها را راه می اندازد. شدت متوسط هم دلیل نمی شود آن را کم اهمیت بدانیم. این ماجرا یک بار دیگر نشان می دهد نصب به روزرسانی های امنیتی را نباید عقب انداخت، حتی وقتی اصلاحیه از مدت ها قبل منتشر شده. اگر وصله هست و نصب نشده، همین فاصله جای ورود مهاجم است.