iOS 16.7.15 e iOS 15.8.7 hanno chiuso la pericolosa falla Coruna
Apple ha pubblicato i dettagli tecnici relativi ai contenuti di sicurezza degli aggiornamenti iOS 16.7.15, iOS 15.8.7, iPadOS 16.7.15 e iPadOS 15.8.7, confermando che queste versioni introducono importanti correzioni per la vulnerabilità Coruna, un exploit reso pubblico recentemente dai ricercatori di Google e dalla società di sicurezza iVerify. L’aggiornamento dimostra ancora una volta l’attenzione dell’azienda di Cupertino nel proteggere anche i dispositivi meno recenti, che non possono più ricevere le versioni più moderne del sistema operativo.
La vulnerabilità Coruna è particolarmente significativa perché non si basa su una singola falla, ma su una catena complessa di exploit. Secondo le informazioni condivise dai ricercatori, l’attacco sfrutta cinque catene complete di exploit iOS e un totale di 23 vulnerabilità diverse, rendendo potenzialmente esposti i dispositivi con versioni del sistema operativo comprese tra iOS 13 e iOS 17.2.1. Questo tipo di approccio multi-vulnerabilità rende l’exploit particolarmente sofisticato e difficile da individuare senza patch specifiche.
Apple aveva inizialmente rilasciato gli aggiornamenti indicando genericamente la presenza di “importanti correzioni di sicurezza”, ma con la pubblicazione della documentazione completa ha chiarito che le patch riguardano vulnerabilità del kernel e del motore WebKit direttamente collegate all’exploit Coruna. L’obiettivo principale di questi aggiornamenti è proteggere i dispositivi che non possono essere aggiornati alle versioni più recenti di iOS, portando su questi modelli le stesse mitigazioni già introdotte nelle release più moderne del sistema.
Nel dettaglio, una delle vulnerabilità più critiche riguarda il kernel del sistema operativo e interessava dispositivi come iPhone 6s, iPhone 7, iPhone SE di prima generazione, iPad Air 2, iPad mini di quarta generazione e iPod touch di settima generazione. Il problema poteva consentire a un’applicazione malevola di eseguire codice arbitrario con privilegi di sistema, una delle condizioni più pericolose in ambito sicurezza. Apple ha risolto la falla migliorando la gestione della memoria e correggendo un problema noto come use-after-free, già affrontato nelle versioni più recenti del sistema a partire da iOS 17 nel settembre 2023.
Un’altra serie di correzioni riguarda WebKit, il motore di rendering utilizzato da Safari e da tutti i browser su iOS. In questo caso, contenuti web appositamente costruiti potevano causare l’esecuzione di codice arbitrario o la corruzione della memoria del dispositivo. Le vulnerabilità sono state corrette introducendo controlli più rigorosi sui tipi di dati e migliorando ulteriormente la gestione della memoria. Anche queste patch erano già state distribuite tra il 2023 e il 2024 nelle versioni più recenti di iOS, ma ora sono state estese anche ai dispositivi non più supportati dalle release principali.
Tra le vulnerabilità corrette figurano diverse identificazioni CVE, tra cui CVE-2023-41974, CVE-2024-23222, CVE-2023-43000 e CVE-2023-43010, a conferma della complessità tecnica dell’exploit Coruna e dell’ampiezza del lavoro di mitigazione necessario per neutralizzarlo completamente.
Questo aggiornamento evidenzia l’importanza di installare anche le patch di sicurezza considerate “minori”, specialmente su dispositivi più datati che non ricevono nuove funzionalità ma continuano a beneficiare di interventi critici contro potenziali attacchi informatici. La scelta di Apple di retroportare queste correzioni dimostra una strategia di sicurezza orientata al lungo periodo, che mira a mantenere protetti anche i dispositivi fuori dal ciclo principale di aggiornamenti software.
