Apple vydal iOS 27.2.1. Zalepil díru, která pouštěla cizí do skupiny

Apple v pondělí vypustil iOS 27.2.1, iPadOS 27.2.1, macOS 27.2.1, watchOS 27.2.1 i visionOS 27.2.1. Nové funkce nečekejte – jde čistě o bezpečnostní záplaty. Mezi nimi je i oprava chyby, díky které se cizí člověk mohl vetřít do skupinové konverzace v iMessage a číst, co si v ní píšete.

Apple v pondělí 9. listopadu rozeslal na všechny své platformy drobnou aktualizaci s číslem 27.2.1. Dostaly ji iPhony, iPady, Macy, Apple Watch i Vision Pro, a to přesně dva týdny po vydání velké verze 27.2, která přišla 26. října. Majitelé zařízení, která na sedmadvacítku nepřešla nebo přejít nemohou, mají k dispozici paralelní balíčky iOS 26.7.3 a iOS 18.7.12, na Macích pak macOS 26.7.3 a macOS 15.8.3. Instaluje se obvyklou cestou přes Nastavení, Obecné a Aktualizace softwaru.

Poznámky k vydání jsou tentokrát mimořádně skoupé. Apple v nich uvádí jen to, že aktualizace přináší opravy chyb a bezpečnostní vylepšení, a nic dalšího se z nich nedozvíte. Teprve bezpečnostní stránky na webu podpory, konkrétně dokumenty pro iOS a macOS, prozrazují, co se vlastně stalo. A je to čtení, kvůli kterému se vyplatí aktualizovat dřív než za týden.

Nejnepříjemnější z opravených problémů se týká iMessage. Jedna z chyb podle Applu umožňovala vzdálenému útočníkovi připojit se do skupinové konverzace a dostávat zprávy, které v ní lidé posílali. Druhá, o něco méně dramatická, dovolovala nově přidanému účastníkovi přečíst si i zprávy, které ve skupině padly ještě předtím, než se k ní připojil. Obojí jde proti tomu, co od šifrované komunikace čekáte: že v ní je jen ten, koho jste tam pustili.

Druhá skupina oprav míří na Bluetooth. Škodlivé zařízení se podle popisu mohlo s iPhonem nebo Macem spárovat úplně samo, aniž by uživatel cokoli potvrdil nebo si čehokoli všiml. K tomu Apple přidal opravu chyby, díky které mohl útočník v bezprostřední blízkosti poškodit paměť běžícího procesu. To je typ zranitelnosti, který sám o sobě telefon neotevře, ale v řetězci s dalšími chybami bývá prvním schodem k něčemu horšímu.

Třetí okruh se točí kolem AirPlay. Hned několik chyb podle Applu umožňovalo obejít limit počtu pokusů o zadání párovacího kódu. Právě ten limit je jediné, co u čtyřmístného kódu brání tomu, aby si útočník prostě zkusil všechny kombinace – a když přestane fungovat, není párování o moc větší překážka než zamčené dveře s klíčem pod rohožkou.

Čtyři z opravených zranitelností připsal Apple sám sobě, takže na ně přišli jeho vlastní lidé a ne externí výzkumníci. Firma zároveň nikde neuvádí, že by někdo chyby zneužil v praxi, což je u Applu formulace, kterou používá poměrně svědomitě. To ovšem neznamená, že se dá s instalací otálet: jakmile jsou detaily venku, stávají se neaktualizovaná zařízení zranitelnější než předtím, protože případným útočníkům odpadla ta nejtěžší část práce.

Majitelé Maců dostávají k tomu všemu ještě jednu opravu navíc, o které jsme psali už minulý týden ve spojení s betou macOS 27.3. Jde o prolomené certifikáty indické certifikační autority eMudhra, které systém nově odmítá i v nástrojích příkazové řádky. Čekání na prosincovou aktualizaci tedy odpadá, záplata je venku o měsíc dřív.

Připomeňme, oč jde. Vyšetřování nadace Mozilla zjistilo, že eMudhra vydávala certifikáty s hodnotami soukromého klíče pod číslem 256. Takový klíč jde odvodit v podstatě okamžitě a útočník s ním dokáže vyrobit zdánlivě platný certifikát pro libovolný web. Apple na to v říjnu zareagoval tím, že certifikáty zablokoval v Safari, Mailu a všude, kde se používají systémové frameworky, jenže nástroje jako curl nebo git je dál bez mrknutí oka přijímaly.

Pro ty, kdo z jakéhokoli důvodu aktualizovat nemohou, zůstává na webu podpory Applu i původní návod na ruční odstranění postižených kořenových certifikátů ze souboru /etc/ssl/cert.pem. Je to řešení pro správce a lidi, kteří vědí, co dělají; běžnému uživateli stačí aktualizace a nemusí se o nic dalšího starat.

Apple Watch a Vision Pro vyšly z pondělního kolečka nejstručněji. U watchOS 27.2.1 mluví Apple pouze o bezpečnostních opravách, visionOS 27.2.1 dostal navíc i opravy chyb. Obojí se instaluje přímo z Nastavení příslušného zařízení, u hodinek přes aplikaci Watch na iPhonu nebo rovnou na zápěstí, pokud máte dost baterie a nabíječku po ruce.

Pro české uživatele je dobrá zpráva, že tahle aktualizace nemá žádné regionální omezení. Nejde o novou funkci, kterou by Apple pouštěl po vlnách do vybraných zemí, ale o opravný balíček, který se rozesílá do celého světa naráz. Není tedy co čekat, nikde se nic nepřepíná a není potřeba ani měnit region Apple účtu, což je u aktualizací systému obecně špatný nápad.

Celkově je 27.2.1 přesně ten typ vydání, které si většina lidí nechá doinstalovat přes noc a ráno o něm neví. To je v pořádku a dost možná i záměr. Jen by bylo fér, kdyby se Apple v poznámkách k vydání zmohl na něco víc než na věčné „opravy chyb a bezpečnostní vylepšení“ – u opravy, která zavírá vrátka do cizí skupinové konverzace, by jedna konkrétní věta navíc nikoho nezabila.

Zdroje: MacRumors, MacRumors, AppleInsider, Apple