क्या MacOS के लिए पहले से ही मेल्टडाउन भेद्यता फिक्स उपलब्ध है?

हालांकि Apple ने अभी तक दोष पर टिप्पणी नहीं की है, एलेक्स Ionscu, विंडोज सुरक्षा विशेषज्ञ, ने कहा कि एक ठीक macOS के लिए एक नया 10.13.3 अद्यतन में मौजूद था।

स्रोत: अपने आप को मेल्टडाउन और स्पेक्टर से कैसे बचाएं, नवीनतम प्रोसेसर सिक्योरिटी फ्लैव्स

macos security software-update

— rraallvv
स्रोत

जवाबों:

मेल्टडाउन

macOS ने 6 दिसंबर, 2017 को macOS 10.13.2 में
पैच किया, iOS ने 2 दिसंबर, 2017 को iOS 11.2 में पैच किया

Apple ने macOS हाई सिएरा 10.13.2, सिक्योरिटी अपडेट 2017-002 सिएरा, और सिक्योरिटी अपडेट 2017-005 एल कैपिटान में CVE-2017-5754 (मेल्टडाउन) को पैच किया। (सपोर्ट आर्टिकल HT208331 )

काली छाया

8 जनवरी तक, ऐप्पल ने स्पेक्टर की प्रभावशीलता को कम करने के लिए मैकओएस और आईओएस पर सफारी के लिए अपडेट जारी किया है। (समर्थन अनुच्छेद HT208394 ) ध्यान दें कि स्पेक्टर को "पैच" नहीं किया जा सकता है, केवल निष्पादित करने में अधिक कठिन है।

— स्टीव
स्रोत

यह सुझाव देना गलत है कि ऐप्पल "पैच स्पेक्टर" पर जा रहा है। स्पेक्टर एकल शोषण से अधिक कार्यप्रणाली है। Apple सफारी के लिए एक पैच विकसित कर रहा है जो इस तकनीक को जावास्क्रिप्ट का उपयोग करने के लिए कठिन बना देगा । वास्तव में सभी स्पेक्टर प्रकार के हमलों को रोकने के लिए हार्डवेयर परिवर्तनों की आवश्यकता होती है।

— MJeffryes

यह जानकारी गलत है: Apple ने अपने सुरक्षा अपडेट नोटों को संशोधित किया है। सिएरा और एल कैपिटन अभी तक मेल्टडाउन के लिए तैयार नहीं हैं।

— lunixbochs

क्या Apple ने संकेत दिया है कि क्या वे macOS <10.13 या iOS <11 को पैच करेंगे? या उन उपयोगकर्ताओं को कमजोर रहने जा रहे हैं?

— थंडरफोर्ज

सपोर्ट आर्टिकल HT208331 ने एक दिन के लिए सिएरा और एलकैप को शामिल किया। लेकिन अब ऐसा नहीं है। यह उत्तर गलत है।

— गिलीबी

10.13.3 में अपग्रेड करने के बाद किसी ने भी प्रदर्शन में सुस्ती देखी है? मेरे कई फोरट्रान-कोडित एप्लिकेशन स्पष्ट सुस्ती के साथ पाए जाते हैं: दौड़ने का समय लगभग दोगुना हो जाता है।

— sunt05

जैसा कि दूसरे, समान सुरक्षा संबंधी पोस्ट में पोस्ट किया गया है , यह ऐप्पल की नीति सुरक्षा कमजोरियों पर टिप्पणी नहीं करना है जब तक कि उन्हें पैच नहीं किया जाता है, और जब वे ऐसा करते हैं, तो वे अक्सर इसके बारे में काफी अस्पष्ट होते हैं।

Apple सुरक्षा अपडेट के बारे में

हमारे ग्राहकों की सुरक्षा के लिए, Apple तब तक सुरक्षा के मुद्दों का खुलासा, चर्चा या पुष्टि नहीं करता, जब तक कि कोई जाँच नहीं हुई और पैच या रिलीज़ उपलब्ध नहीं हुए। हालिया रिलीज़ Apple सुरक्षा अपडेट पृष्ठ पर सूचीबद्ध हैं ।

तो, लिंक किए गए लेख में टिप्पणी को (थोड़ा) संदेह के साथ देखा जाना चाहिए:

हालांकि Apple ने अभी तक दोष पर टिप्पणी नहीं की है, एलेक्स Ionscu, विंडोज सुरक्षा विशेषज्ञ, ने कहा कि एक ठीक macOS के लिए एक नया 10.13.3 अद्यतन में मौजूद था।

हालांकि, थोड़ा जासूसी के काम से हम कुछ जानकारी हासिल कर सकते हैं। इस विशेष भेद्यता को सौंपे गए सीवीई को देखते हुए , ^* हम उन मुद्दों की सूची प्राप्त कर सकते हैं जिन्हें Apple द्वारा संबोधित किया जाना चाहिए जब वे सुरक्षा पैच जारी करने का निर्णय लेते हैं: इन मुद्दों के लिए तीन सीवीई को सौंपा गया है:

CVE-2017-5753 और CVE-2017-5715 स्पेक्टर को सौंपे गए हैं। वर्तमान में कोई पैच उपलब्ध नहीं है। हालांकि, Apple के अनुसार , भेद्यता "शोषण करने के लिए बहुत मुश्किल है" लेकिन जावास्क्रिप्ट के माध्यम से किया जा सकता है। जैसे, वे भविष्य में मैकओएस और आईओएस पर सफारी के लिए एक अपडेट जारी करेंगे

Apple इन शोषण तकनीकों को कम करने के लिए आने वाले दिनों में MacOS और iOS पर Safari के लिए एक अपडेट जारी करेगा। हमारे वर्तमान परीक्षण से संकेत मिलता है कि आगामी सफ़ारी शमन में स्पीडोमीटर और ARES-6 परीक्षणों पर कोई औसत दर्जे का प्रभाव नहीं होगा और JetStream बेंचमार्क पर 2.5% से कम का प्रभाव पड़ेगा।
CVE-2017-5754 को Meltdown को सौंपा गया है। इसे केवल macOS High Sierra 10.13.2 के साथ पैच किया गया है । सिएरा और एल कैपिटन अभी तक पैच नहीं किए गए हैं।

टी एल; डॉ

मैकडाउन को सबसे हालिया अपडेट में मैकओएस हाई सिएरा में पैच किया गया है। सियरा और एल कैपिटन वर्तमान में अप्रकाशित हैं

स्पेक्टर बेजोड़ है, लेकिन निष्पादन में बहुत मुश्किल है, हालांकि इसका जावास्क्रिप्ट में उपयोग किया जा सकता है। सुनिश्चित करें कि आप अपने ब्राउज़र (जैसे फ़ायरफ़ॉक्स, क्रोम, इत्यादि) को अपडेट करते हैं, जब कि Apple से प्रदान किए गए अपडेट के अलावा कब और कहाँ लागू होते हैं।

^*आम कमजोरियाँ और एक्सपोज़र (CVE®) सार्वजनिक रूप से ज्ञात साइबर सुरक्षा कमजोरियों के लिए आम पहचानकर्ताओं की एक सूची है। "सीवीई आइडेंटिफ़ायर (सीवीई आईडी)" का उपयोग, जिसे दुनिया भर के सीवीई नंबरिंग अथॉरिटीज़ (CNAs) द्वारा सौंपा गया है, एक अद्वितीय सॉफ़्टवेयर भेद्यता के बारे में चर्चा करने या जानकारी साझा करने के लिए पार्टियों के बीच विश्वास सुनिश्चित करता है, उपकरण मूल्यांकन के लिए एक आधार रेखा प्रदान करता है, और साइबर सुरक्षा स्वचालन के लिए डेटा विनिमय सक्षम बनाता है।

— एलन
स्रोत

जैसा कि स्टीव का जवाब बताता है, CVE-2017-5754 को अब macOS 10.13.2 अपडेट में पैच के रूप में सूचीबद्ध किया गया है - संभवतः जब आप पोस्ट किए गए थे तब इसे जोड़ा गया था। इस उत्तर को स्वीकार करने के साथ ही परिवर्तन को प्रतिबिंबित करने के लिए इसे अद्यतन करना अच्छा हो सकता है।

— डेविड जेड

@ डेविड - इसके लिए धन्यवाद। जब मैंने जवाब टाइप किया, तो वे अपडेट Apple की साइट पर पोस्ट नहीं किए गए

— एलन

— lunixbochs

@lunixbochs - TY मैंने अपने उत्तर में जानकारी को तदनुसार अद्यतन किया है।

— एलन