ԱՄՆ կիբերանվտանգության գործակալությունը Apple-ի նույնականացման խոցելիությունն ավելացրել է ցանկում

ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) Apple-ի մի քանի արտադրանքի վրա ազդող՝ ոչ պատշաճ նույնականացման խոցելիությունն ավելացրել է հայտնի շահագործվող խոցելիությունների ցանկում (KEV)։ 2026 թ․ նոյեմբերի 4-ի իր ծանուցման մեջ գործակալությունը հայտնել է, որ ապացույցներ ունի՝ CVE-2024-27834 անվանումով խոցելիությունն ակտիվորեն շահագործվում է։

Apple-ն ավելի վաղ հայտնել էր, որ խնդիրը լուծել է բարելավված ստուգումների միջոցով՝ 2024 թ․ մայիսի 13-ին թողարկված iOS 16.7.8 և iPadOS 16.7.8 տարբերակներում։ Ընկերությունն իր անվտանգության փաստաթղթում խոցելիության մասին գրառումն ավելացրել է 2024 թ․ հունիսի 10-ին։

Ինչի կարող է հանգեցնել խոցելիությունը

Apple-ի խոսքով՝ հարձակվողը, որն արդեն ունի տվյալներն առանց սահմանափակման կարդալու և գրելու հնարավորություն, կարող է շրջանցել ցուցիչների նույնականացումը (Pointer Authentication)՝ հիշողության ցուցիչները ստուգելու համար օգտագործվող պաշտպանական միջոցը։ Apple-ը չի պնդում, թե հենց խոցելիությունն է հարձակվողին տալիս այդ նախնական հնարավորությունը։

Apple-ի նշմամբ՝ ուղղումը պարունակող թարմացումները հասանելի են iPhone 8, iPhone 8 Plus, iPhone X, 5-րդ սերնդի iPad, 9,7 դյույմանոց iPad Pro և 1-ին սերնդի 12,9 դյույմանոց iPad Pro սարքերի համար։ CISA-ի ծանուցման մեջ չեն նշվում խոցելիությունից տուժող տարբերակները, հարձակվողները, տուժածները, շահագործման ծավալը կամ ժամկետները։

Ինչ պետք է անեն պետական մարմիններն ու կազմակերպությունները

Իր ծանուցման մեջ CISA-ն հայտնել է, որ իր BOD 26-04 հրահանգը դաշնային քաղաքացիական գործադիր մարմիններից պահանջում է առաջնահերթ արագ շտկել հանրությանը հասանելի համակարգերում KEV ցանկի բարձր ռիսկային խոցելիությունները, երբ դրանց շահագործումը հարձակվողին լիակատար վերահսկողություն կտա։ Հրահանգը հետաձգում է ավելի ցածր ռիսկային խոցելիությունների ուղղությամբ գործողությունները և սահմանում, թե երբ մարմինները պետք է ստուգեն՝ արդյոք համակարգը վտանգվել է մինչև ուղղման կիրառումը։