Apple heeft een beveiligingsupdate uitgegeven om drie zero-day-kwetsbaarheden te dichten.

Advies

Omdat Apple gelooft dat anonieme cybercriminelen deze kwetsbaarheden al benutten, raadt het bedrijf alle iOS- en iPadOS-gebruikers aan om hun besturingssystemen te updaten.

• Update alle iPhones en iPads die dit ondersteunen zo snel mogelijk naar iOS/iPadOS 14.4. Volgens de website van Apple is de update beschikbaar voor de iPhone 6s en nieuwere versies, de iPad Air 2 en nieuwer, de iPad mini 4 en nieuwer en de iPod Touch van de zevende generatie.

• Als u apparaat ouder is dan de genoemde versies en versie 14.4 van iOS of iPadOS niet ondersteunt, installeer dan een andere browser als alternatief voor Safari en stel deze in als standaard browser. Vanaf iOS 11 kunt u bijvoorbeeld Firefox of DuckDuckGo gebruiken, en vanaf iOS 12 kunt u ook voor Google Chrome kiezen.

Wat is een Zero day

Er zijn verschillende definities van een zero-day kwetsbaarheid. Meestal gaat het om een lek in de software die nog niet bij het moederbedrijf bekend is, maar wel bij hackers of anderen die er misbruik van willen maken. Sommigen gebruiken de term ook om te verwijzen naar een kwetsbaarheid die wel publiek bekend is, maar nog niet gedicht. Zero-day kwetsbaarheden kunnen soms jarenlang verborgen zijn. Zo dichtten de makers van comprimeer programma WinRAR  een lek dat inmiddels negentien jaar oud was.

Zero day de gouden graal

Bedrijven sporen met programma's op basis van algoritmen al automatisch naar zero-days. Deze algoritmen zijn echter getraind op kwetsbaarheden uit het verleden en kunnen nieuwe typen niet altijd herkennen. Er wordt momenteel geprobeerd dit soort automatische processen flexibeler te maken.

Ondertussen wordt er ook veel gebruikgemaakt van zogenoemde 'white hat hackers', zoals de onderzoekers van Googles Project Zero. Die speuren voor een beloning naar kwetsbaarheden en melden die vervolgens bij de makers van getroffen software.

In de afgelopen jaren tiert de markt voor zero-day kwetsbaarheden welig op het darkweb. Zo worden zero-days voor duizenden tot tienduizenden euro's uitgewisseld door criminelen, die de informatie gebruiken om bijvoorbeeld inloggegevens buit te maken.

Ergens in het midden liggen de cybersecurity bedrijven die informatie over zero-days doorverkopen aan zakelijke cliënten. Inlichtingendiensten maken gretig gebruik van deze 'grijze markt' voor hun eigen cyberspionage activiteiten.

Volgens bedrijven als Exodus Intel wordt de informatie voornamelijk geleverd om de vaak trage reactie van softwaremakers voor te zijn. Bedrijven kunnen zich dan alvast beschermen tegen de zero-day, terwijl de maker nog aan het dichten van het lek moet beginnen.

Stuxnet bekendste zero day aanval

Eén van de bekendste zero-day aanvallen is het in 2010 bekend geworden 'Stuxnet'. Dit was in eerste instantie een gerichte aanval op het nucleaire programma van Iran via een zogenoemde worm, die van vier verschillende zero-day kwetsbaarheden gebruikmaakte.

Het virus werd hoogstwaarschijnlijk ontwikkeld door inlichtingendiensten van de Verenigde Staten en Israël. Zelfs de AIVD zou bij de aanval betrokken zijn geweest door een USB-stick met het virus bij een nucleair complex naar binnen te smokkelen, schreef de Volkskrant. Het virus verspreidde werd na de aanval op Iran naar andere industriële installaties verspreid en werd onder meer gebruikt om de Amerikaanse oliemaatschappij Chevron te treffen.

Ook de recentere aanval op de servers van Sony in 2014 vond plaats via een zero-day. De hackers, die volgens de Verenigde Staten in dienst van Noord-Korea waren, wisten op die manier veel interne informatie van het bedrijf buit te maken.

WebKit browser engine

CVE-2021-1780 en CVE-2021-1781 zijn kwetsbaarheden in de WebKit-browser-engine, die de standaard browser Safari gebruikt. Volgens Apple kunnen beide kwetsbaarheden leiden tot het willekeurig uitvoeren van code op het apparaat.

Gebruikers van andere browsers hebben deze update ook nodig. Zelfs als het systeem een andere browser bevat, kunnen andere applicaties beroep doen op de Safari-engine voor in-app browsing. De aanwezigheid van een kwetsbare engine in het systeem is hoe dan ook gevaarlijk.

Systeemkernel

CVE-2021-1782 is een kwetsbaarheid in de systeemkernel. Apple beschrijft het als een race condition-fout die mogelijk gebrruikt kan worden om de privileges van een proces te verhogen.

Volgens de beschikbare informatie kan het al zijn dat onbekende partijen gebruikmaken van deze kwetsbaarheden. Ze zouden de drie kwetsbaarheden als exploit chain kunnen gebruiken, maar met het lopende onderzoek en ter bescherming van gebruikers is Apple van plan om het vrijgeven van meer details uit te stellen. De CVE-database biedt momenteel ook geen preciezere informatie.