CVE-2022-22587
Apple Memory Corruption Vulnerability
Beschreibung
CVE-2022-22587 ist eine KRITISCHE Speicherkorruptions-Schwachstelle in Apples IOMobileFrameBuffer-Kernel-Erweiterung, die iOS (vor 15.3), iPadOS (vor 15.3) sowie macOS Monterey (vor 12.2) und macOS Big Sur (vor 11.6.3) betrifft. Unter CWE-787 (Out-of-bounds Write) klassifiziert, ermöglicht diese Schwachstelle einer bösartigen Anwendung die Ausführung beliebigen Codes mit Kernel-Privilegien durch Ausnutzung einer Speicherkorruption im Display-Buffer-Management-Subsystem. Mit einem CVSS-3.1-Score von 9,8 (CRITICAL) und einem netzwerkzugänglichen Angriffsvektor ist dies eine der schwerwiegendsten Apple-Kernel-Schwachstellen der letzten Jahre. Trotz der kritischen CVSS-Bewertung ist der EPSS-Score von 0,00373 (58,7. Perzentile) relativ moderat, was auf gezielte statt breit angelegte Ausnutzung hindeutet. CVE-2022-22587 ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 11. Februar 2022 gelistet, und es ist keine Ransomware-Assoziation dokumentiert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | ipados | < 15.3 |
| apple | iphone os | < 15.3 |
| apple | macos | < 11.6.3; >= 12.0, < 12.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://support.apple.com/en-us/HT213053(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/HT213054(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/HT213055(Release Notes, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22587(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write (CWE-787) ist eine kritische Schwachstellenklasse, die auftritt, wenn Software Daten über die beabsichtigten Grenzen eines Puffers im Speicher hinaus schreibt. Dies kann durch Buffer Overflows, inkorrekte Größenberechnungen, Integer Overflows oder Type Confusion geschehen. Im Kontext von Kernel-Erweiterungen sind Out-of-bounds Writes besonders gefährlich, da sie Kernel-Speicher korrumpieren, Kontrollflussdaten überschreiben und beliebige Code-Ausführung auf der höchsten Privilegierungsstufe ermöglichen können. CWE-787 rangiert konsistent als gefährlichste Software-Schwäche in den MITRE CWE Top 25.
Bei CVE-2022-22587 enthält Apples IOMobileFrameBuffer-Kernel-Erweiterung eine Speicherkorruptions-Schwachstelle, die zu einer Out-of-bounds-Write-Bedingung führt. IOMobileFrameBuffer ist ein Kernel-Level-Treiber, der den Display-Framebuffer auf Apple-Geräten verwaltet — er verarbeitet die Speicherbereiche, die zum Rendern von Bildschirminhalten für Haupt- und externe Displays verwendet werden. Die Schwachstelle tritt auf, wenn der Treiber bestimmte Operationen im Zusammenhang mit Framebuffer-Management verarbeitet und Speichergrenzen nicht ordnungsgemäß validiert, was zur Korruption angrenzenden Kernel-Heap-Speichers führt. Da diese Kernel-Erweiterung mit den höchsten Privilegien läuft und direkten Zugriff auf Hardware-Display-Ressourcen hat, ermöglicht die Ausnutzung vollständige Kernel-Level-Code-Ausführung. Erfahren Sie mehr über CWE-787 bei turingsecure.com.
Auswirkungsanalyse
CVE-2022-22587 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) mit unverändertem Scope und spiegelt die maximale Schweregradbewertung für eine Schwachstelle mit netzwerkzugänglichem Angriffsvektor und ohne Authentifizierungsanforderungen wider.
Vertraulichkeit (High): Kernel-Level-Code-Ausführung auf Apple-Geräten gewährt dem Angreifer uneingeschränkten Zugriff auf alle auf dem Gerät gespeicherten Daten. Auf iOS/iPadOS umfasst dies den vollständigen Keychain (Passwörter, Zertifikate, Token), Nachrichten, Fotos, E-Mails, Gesundheitsdaten, Standortverlauf und Daten aller installierten Anwendungen. Auf macOS erhält der Angreifer Zugriff auf alle Benutzerdateien, FileVault-Verschlüsselungsschlüssel, SSH-Schlüssel und Browser-Anmeldedaten. Kernel-Zugriff umgeht vollständig die iOS/iPadOS-Sandbox und alle Datenschutzklassen.
Integrität (High): Mit Kernel-Privilegien kann ein Angreifer beliebige Dateien auf dem Gerät modifizieren, Kernel-Code im Speicher patchen, Code-Signing-Durchsetzung deaktivieren, persistente Implantate installieren und System-Sicherheitsrichtlinien ändern. Auf iOS ermöglicht Kernel-Zugriff Fähigkeiten, die einem Jailbreak entsprechen — Deaktivierung aller Plattform-Sicherheitsbeschränkungen einschließlich Secure-Boot-Chain-Validierung, App-Sandbox-Durchsetzung und Entitlement-Prüfungen.
Verfügbarkeit (High): Kernel-Level-Zugriff ermöglicht dem Angreifer, das Gerät zum Absturz zu bringen (Kernel Panic), das Dateisystem zu korrumpieren, das Gerät durch Firmware-Modifikation unbrauchbar zu machen oder es dauerhaft funktionsunfähig zu machen. Bei mobilen Geräten kann dies zu vollständigem Datenverlust führen, wenn das Gerät nicht wiederhergestellt werden kann.
Scope (Unchanged): Obwohl der CVSS-Scope als Unchanged bewertet ist, ist die praktische Auswirkung einer Kernel-Kompromittierung auf einem Mobilgerät umfassend — der Angreifer kontrolliert effektiv alle Hardware und Software auf dem Gerät. Der EPSS-Score von 0,00373 in der 58,7. Perzentile deutet darauf hin, dass die Ausnutzung gezielt und nicht breit angelegt war, konsistent mit dem Muster fortgeschrittener Bedrohungsakteure, die Apple-Kernel-Schwachstellen für Überwachungsoperationen gegen spezifische hochwertige Ziele einsetzen.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2022-22587 wird nachweislich aktiv in der Praxis ausgenutzt. Apple bestätigte in seinen Sicherheitshinweisen für iOS 15.3, iPadOS 15.3 und macOS 12.2, dass diese Schwachstelle "möglicherweise aktiv ausgenutzt wurde". CISA nahm sie am 28. Januar 2022 in den KEV-Katalog auf und bestätigte aktive Ausnutzung mit einer sehr engen Behebungsfrist.
Ransomware-Bezug: Der CISA-KEV-Katalog weist keine Ransomware-Assoziation für CVE-2022-22587 aus. Apple-Kernel-Schwachstellen dieser Art werden typischerweise in gezielten Überwachungs- und Spionageoperationen eingesetzt statt in Commodity-Ransomware-Kampagnen, angesichts der erforderlichen Raffinesse und des hohen Werts von Zero-Day-iOS-Kernel-Exploits auf dem kommerziellen Exploit-Markt.
Öffentliche Exploits: Obwohl die spezifischen Exploit-Details nicht in öffentlichen Exploit-Repositorien breit veröffentlicht wurden, wurde die Schwachstelle als Zero-Day ausgenutzt, bevor Apple Patches veröffentlichte. Die Sicherheitsforschungsgemeinschaft hat die IOMobileFrameBuffer-Komponente umfangreich analysiert, und verwandte Schwachstellen in dieser Komponente wurden öffentlich dokumentiert.
EPSS-Kontext: Der EPSS-Score von 0,00373 in der 58,7. Perzentile ist für eine KRITISCHE Schwachstelle relativ niedrig und spiegelt wider, dass die Ausnutzung gezielt und begrenzt war. Dieses Muster ist typisch für hochwertige Apple-Zero-Day-Schwachstellen, die selektiv gegen bestimmte Ziele eingesetzt werden.
KEV-Behebungsfrist: CISA setzte eine sehr aggressive Behebungsfrist auf den 11. Februar 2022, nur 14 Tage nach dem Katalog-Aufnahmedatum vom 28. Januar 2022, was die Schwere und aktive Ausnutzung dieser Kernel-Level-Schwachstelle widerspiegelt.
Behebung
-
Alle betroffenen Apple-Geräte auf gepatchte Versionen aktualisieren. Für iPhones und iPads auf iOS/iPadOS 15.3 oder höher aktualisieren. Für Macs mit Monterey auf macOS 12.2 oder höher aktualisieren. Für Macs mit Big Sur auf macOS 11.6.3 oder höher aktualisieren. Diese Updates sind über den standardmäßigen Apple Software-Update-Mechanismus verfügbar und beheben die IOMobileFrameBuffer-Speicherkorruptions-Schwachstelle.
-
Auf die neuesten unterstützten Apple-Betriebssystemversionen upgraden. iOS 15.3, iPadOS 15.3 und macOS 12.2 sind mittlerweile selbst veraltet. Upgraden Sie auf die neuesten Versionen (iOS 17+, iPadOS 17+, macOS 14+ Sonoma), um von laufenden Sicherheitsupdates und modernen Kernel-Sicherheitshärtungen einschließlich verbesserter Pointer Authentication Codes (PAC) und hardwarebasierter Speichersicherheitsverbesserungen auf Apple Silicon zu profitieren.
-
Blockierungsmodus auf Hochrisiko-Geräten aktivieren. Für Benutzer mit erhöhtem Risiko gezielter Angriffe (Journalisten, Aktivisten, Führungskräfte, Regierungsbeamte) aktivieren Sie Apples Blockierungsmodus (verfügbar in iOS 16+ und macOS 13+). Der Blockierungsmodus reduziert die Angriffsfläche erheblich, indem er viele Funktionen deaktiviert, die häufig von Exploit-Ketten angegriffen werden.
-
Mobile Device Management (MDM) mit Mindest-OS-Version-Durchsetzung implementieren. Setzen Sie MDM-Profile ein, die Mindest-Betriebssystemversionen erzwingen und sicherstellen, dass Sicherheitsupdates innerhalb eines definierten Zeitrahmens angewendet werden. Konfigurieren Sie Compliance-Richtlinien, um den Zugriff auf Unternehmensressourcen von Geräten mit veralteter Software einzuschränken.
-
Auf Indikatoren einer Kernel-Level-Kompromittierung auf Apple-Geräten überwachen. Setzen Sie Mobile-Threat-Detection-Lösungen ein, die Anzeichen einer Kernel-Ausnutzung identifizieren können, einschließlich unerwarteter Kernel Panics, Jailbreak-Indikatoren, Modifikation von System-Integrity-Protection-Einstellungen und anomalem Prozessverhalten.
-
Corporate Apple-Gerätebestand auf Update-Compliance prüfen. Führen Sie eine sofortige Bestandsaufnahme aller Apple-Geräte in der Organisation durch, überprüfen Sie deren aktuelle Betriebssystemversionen und priorisieren Sie Updates für Geräte, die Versionen vor den gepatchten Releases ausführen. Achten Sie besonders auf Geräte von Führungskräften und Personal, das Ziel von Überwachungsoperationen sein könnte.
Technische Details
CVE-2022-22587 ist eine Speicherkorruptions-Schwachstelle in Apples IOMobileFrameBuffer-Kernel-Erweiterung, die beliebige Code-Ausführung mit Kernel-Privilegien ermöglicht. IOMobileFrameBuffer ist ein Kernel-Level-Treiber, der den Display-Framebuffer verwaltet — den Speicherbereich, der zum Speichern von Pixeldaten verwendet wird, bevor diese an die Display-Hardware gesendet werden. Dieser Treiber verarbeitet Operationen einschließlich Framebuffer-Allokation, Display-Auflösungsverwaltung und Pixelformat-Konvertierung.
Die Schwachstelle tritt aufgrund einer Speicherkorruptionsbedingung im IOMobileFrameBuffer-Treiber auf, die zu einem Out-of-bounds Write in den Kernel-Heap-Speicher führt. Wenn der Treiber bestimmte Framebuffer-Management-Operationen verarbeitet, versäumt er die ordnungsgemäße Validierung von Speichergrenzen oder Objektgrößen, wodurch Daten außerhalb des allokierten Puffers geschrieben werden. Dies korrumpiert angrenzende Kernel-Heap-Strukturen, die von einem Angreifer genutzt werden können, um kontrollierte Kernel-Speicherschreibvorgänge und letztlich beliebige Code-Ausführung zu erreichen.
Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bewertet dies als netzwerkzugängliche Schwachstelle, die keine Authentifizierung und keine Benutzerinteraktion erfordert. Diese ungewöhnliche Bewertung für eine Kernel-Treiber-Schwachstelle deutet darauf hin, dass der Ausnutzungspfad netzwerkgelieferte Inhalte umfassen kann, die den Framebuffer-Verarbeitungscodepfad auslösen, oder dass der Angriff aus der Ferne über eine manipulierte Anwendung oder Webinhalt initiiert werden kann.
Die Grundursache ist eine unzureichende Validierung von Daten, die während Framebuffer-Management-Operationen in den IOMobileFrameBuffer-Treiber fließen. Der Treiber vertraut bestimmten Größen- oder Offset-Werten ohne ordnungsgemäße Grenzenprüfung, was zur Out-of-bounds-Write-Bedingung führt. Apple behob diese Schwachstelle durch ordnungsgemäße Eingabevalidierung und Grenzenprüfung in den betroffenen Codepfaden.
Häufig gestellte Fragen
Was ist CVE-2022-22587?
CVE-2022-22587 ist eine kritische Speicherkorruptions-Schwachstelle in Apples IOMobileFrameBuffer-Kernel-Erweiterung, die beliebige Code-Ausführung mit Kernel-Privilegien ermöglicht. Sie betrifft iOS-Versionen vor 15.3, iPadOS-Versionen vor 15.3, macOS Monterey vor 12.2 und macOS Big Sur vor 11.6.3. Die Schwachstelle hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und wurde von Apple als in der Praxis ausgenutzt bestätigt, bevor Patches verfügbar waren.
Welche Apple-Geräte sind von CVE-2022-22587 betroffen?
CVE-2022-22587 betrifft iPhones und iPads mit iOS/iPadOS-Versionen vor 15.3 sowie Mac-Computer mit macOS Monterey vor 12.2 oder macOS Big Sur vor 11.6.3. Dies umfasst eine breite Palette von Apple-Geräten einschließlich iPhone 6s und neuer, alle iPad Pro-Modelle, iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch 7. Generation, ebenso wie Mac-Computer, die mit macOS Monterey oder Big Sur kompatibel sind.
Wie schwerwiegend ist CVE-2022-22587?
CVE-2022-22587 ist mit CRITICAL bewertet und hat den maximalen CVSS-3.1-Score von 9,8. Sie ist von Apple als in der Praxis ausgenutzt bestätigt und im CISA-KEV-Katalog mit einer 14-tägigen Behebungsfrist gelistet. Die Schwachstelle ermöglicht Kernel-Level-Code-Ausführung, die auf Apple-Geräten vollständige Kontrolle über das Gerät gewährt. Der relativ niedrige EPSS-Score (58,7. Perzentile) deutet auf gezielte statt massenhafte Ausnutzung hin.
Wie behebe ich CVE-2022-22587?
Aktualisieren Sie alle Apple-Geräte auf die gepatchten Versionen: iOS/iPadOS 15.3 oder höher, macOS Monterey 12.2 oder höher bzw. macOS Big Sur 11.6.3 oder höher. Da diese Versionen mittlerweile veraltet sind, upgraden Sie auf die neuesten unterstützten Releases (iOS 17+, macOS 14+). Für Hochrisiko-Personen aktivieren Sie Apples Blockierungsmodus, um die Angriffsfläche zu reduzieren. Setzen Sie MDM-Lösungen ein, um Mindest-OS-Versionsanforderungen für organisatorische Geräte durchzusetzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.