Afgelopen woensdag kwam Apple met een beveiligingsupdate voor twee actief aangevallen zerodaylekken in iOS en macOS Monterey. Een van die kwetsbaarheden is gisterenavond ook in Safari voor macOS Big Sur en Catalina verholpen. Of de macOS-versies ook kwetsbaar voor het tweede zerodaylek zijn en of Apple hiervoor op een later moment een update uitbrengt is onbekend.

Met Safari 15.6.1 verhelpt Apple een kwetsbaarheid in de eigen WebKit browser-engine aangeduid als CVE-2022-32893. Door alleen een kwaadaardige of gecompromitteerde website te bezoeken of een besmette advertentie te zien kan een aanvaller via dit beveiligingslek willekeurige code op het systeem uitvoeren. Er is geen verdere interactie van gebruikers vereist. Dergelijke aanvallen worden ook wel een "drive-by download" genoemd.

Het komt vaker voor dat Apple eerst in de meest recente versie van macOS een kwetsbaarheid verhelpt, gevolgd door updates voor andere nog wel ondersteunde versies op een later moment. Woensdag kwam Apple voor iOS, iPadOS en macOS Monterey ook met een update voor CVE-2022-32894. Via dit zerodaylek kan een malafide applicatie of aanvaller die al toegang tot het systeem heeft kernelrechten krijgen. Vooralsnog heeft alleen macOS Monterey een update voor dit probleem ontvangen. Gebruikers van Big Sur en Catalina kunnen de nieuwste Safari via de updatefunctie van macOS downloaden.