Bocoran Sebut Apple Bakal Gelar Acara 16 Maret, Mau Luncurkan Apa?

Di sisi lain, Apple baru-baru ini merilis pembaruan iOS 14.4 untuk seluruh pengguna iPhone dan juga pembaruan iPadOS 14.4 untuk pengguna iPad.

Di halaman pembaruan keamanan iOS 14.4 dan iPadOS 14.4, Apple mengatakan langkah ini untuk memperbaiki kerentanan yang dapat membuat iPhone dan iPad dieksploitasi.

Akan tetapi, detailnya tak disebutkan lebih lanjut. Selain itu juga tidak disebut siapa yang secara aktif mengeksploitasi kerentanan dan siapa yang mungkin jadi korbannya.

Tak lama kemudian, menurut keterangan resmi yang Tekno Liputan6.com terima, Jumat (29/1/2021), perusahaan keamanan siber Kaspersky mengungkapkan bahwa langkah itu dilakukan untuk menutup tiga kerentanan zero-day: CVE-2021-1780, CVE-2021-1781, dan CVE-2021-1782.

Maka dari itu, Kaspersky meminta semua pengguna iPhone dan iPad untuk memperbarui sistem operasi mereka ke iOS 14.4 dan iPadOS 14.4.

Kaspersky menjelaskan, CVE-2021-1780 dan CVE-2021-1781 adalah kerentanan di mesin peramban WebKit, yang mana digunakan browser default, Safari.

Menurut Apple, keduanya dapat menyebabkan eksekusi kode arbitrer pada perangkat yang terpengaruh. Namun, pengguna browser lain juga masih memerlukan pembaruan ini.

Meskipun sistem berisi browser di luar Safari, aplikasi lain dapat memanggil mesin Safari untuk penelusuran dalam aplikasi (in-app). Kerentanan mesin dalam sistem itulah yang berbahaya.

Sementara CVE-2021-1782 adalah kerentanan di kernel sistem. Apple menggambarkannya sebagai kesalahan kondisi pacu (race condition) yang berpotensi dimanfaatkan seseorang untuk meningkatkan hak istimewa suatu proses.

Menurut informasi yang ada, aktor ancaman tidak dikenal mungkin sudah memanfaatkan kerentanan tersebut.

Mereka mungkin menggunakan tiga kerentanan sebagai rantai eksploitasi, namun seiring dengan penyelidikan yang sedang berlangsung, dan untuk perlindungan pengguna, Apple berencana untuk menunda rilis detail selengkapnya. Basis data CVE juga masih kekurangan informasi yang akurat saat ini.

"Adalah fakta umum bahwa menginfeksi iPhone atau iPad dan melakukan rooting perangkat untuk mencegat data darinya merupakan tugas yang sangat sulit. Namun, ada satu metode infeksi yang efektif - yang disebut dengan serangan Drive-By-Download," ungkap Victor Chebyshev, analis keamanan di Kaspersky.

Target hanya perlu mengunjungi halaman web yang telah dirancang khusus dan berisikan eksploit menggunakan kerentanan di browser untuk mengeksekusi kode si aktor ancaman.

"Ini berbahaya karena para aktor ancaman tersebut kemudian dapat mengakses data berharga pengguna di browser," ucap Victor menambahkan.

(Dam/Why)