В браузере Safari открылась «дыра», которую однажды уже чинили

Эксперты Google Project Zero опубликовали подробности о баге в браузере Safari (в движке WebKit), который, как выяснилось, уже исправляли почти десять лет назад. Однако в 2016 г. его по ошибке вернули в код и уже только в 2022 г. присвоили индекс CVE. Хакеры активно эксплуатировали эту уязвимость, прежде чем Apple ее исправила.

CVE-2022-22620 представляет собой ошибку использования выделенной ячейки памяти после ее освобождения — use-after-free. При обработке специально подготовленного веб-контента можно достичь запуска произвольного кода. Уязвимость получила оценку 8,8 балла по шкале CVSS. Она затрагивает версии WebKit под iOS, iPadOS и macOS.

Apple выпустила обновления против этого бага еще в феврале 2022 г. Тогда же в компании заявляли, что уязвимость может уже активно эксплуатироваться хакерами, причем никто не знает, как давно.

В 2013 г. Apple выпустила обновления, полностью устранявшее ту же уязвимость. На тот момент ей даже не присваивался индекс CVE.

В 2016 г., в октябре и декабре, в ходе процедур рефакторинга в WebKit были внесены массивные изменения, в результате чего старая исправленная уязвимость снова оказалась в коде. Только через пять лет на нее снова обратили внимание, когда злоумышленники начали ею пользоваться.