Apple se vraća CVE-2024-27804, tvrdi da ga se ne može iskoristiti i nudi istraživaču sigurnosti ništavnih 1000 dolara nagrade

Isprobajte Naš Instrument Za Uklanjanje Problema





Ako ste pratili proteklih nekoliko dana, posebno pratite izdanje iOS-a i iPadOS-a 17.5 , onda ste vjerojatno čuli za novi PoC za ranjivost jezgre u AppleAVD-u koja utječe na iOS & iPadOS 17.4.1 i starije pod nazivom CVE-2024-27804, za koju je Apple naveo da ima potencijalni utjecaj za aplikaciju da izvršava proizvoljni kod s jezgrom privilegije



 Apple odbija isplatu za CVE-2024-27804.

S druge strane, hype je možda pogodio većinu nas – možda čak i Apple. Meysam Firouzi ( @R00tkitSMM ), istraživač sigurnosti koji je otkrio ovu ranjivost kernela, dobio povratne informacije od Applea ovog tjedna zaključivši da izvješće o pogrešci 'nije u skladu s kriterijima nagrade', i što je možda još razočaravajuće, nije ga moguće iskoristiti.

Poruka koju je Firouzi dobio od tvrtke iz Cupertina kaže:



Zaista cijenimo vaš trud i entuzijazam za ovaj program. Nažalost, vaše izvješće nije u skladu s kriterijima za nagradu jer ne prikazuje kategorije navedene na našoj web stranici. Međutim, snažno vas potičemo da nastavite slati svoje radove u budućnosti.

Cijenimo vašu pomoć u održavanju i poboljšanju sigurnosti naših proizvoda i veselimo se vašim budućim izvješćima.

Prema Firouziju, Apple planira ažurirati “O sigurnosnom sadržaju iOS-a 17.5 i iPadOS-a 17.5” web stranica odražavati ovu odlučnost. Točnije, promijenit će dio mogućnosti izvršavanja proizvoljnog koda s povlasticama jezgre u 'neočekivani prekid sustava'.



Firouzi Objavljeno PoC za CVE-2024-27804 na njihovu GitHub stranicu tek jučer, a već su ga počeli pregledavati istaknuti hakeri.

Budući da CVE-2024-27804 nije ispunio kriterije, Firouzi također neće dobiti punu nagradu, ali Apple je očito u međuvremenu ponudio nagradu od 1000 dolara u dobroj vjeri.

Što to znači za sve nas? Pa uglavnom, dopamin vodeći programer za bjekstvo iz zatvora Lars Fröder ( @opa334dev ) možda je bio na mjestu nakon što je rekao da postoji 90% šanse da ovaj PoC ne vodi apsolutno ničemu.



Imajući to na umu, čini se malo vjerojatnim da će ovo postati koristan dio slagalice u razvoju bilo koje budućnosti bjekstva iz zatvora , tako da će zajednica jednostavno morati čekati i održiv kernel exploit, Secure Page Table Monitor (SPTM) premosnicu, kao i druge tehnike potrebne da bi magija uspjela. Oprostite ljudi!

U svakom slučaju, bit će zanimljivo vidjeti što će sljedeće doći od Firouzija ili možda od nekog drugog strasnog istraživača sigurnosti. Samo će vrijeme pokazati…



Top