מצב USB מוגבל הוא ההגנה שמונעת מאביזר שמחובר בכבל לדבר עם אייפון או אייפד נעולים. החולשה הזאת מאפשרת למי שמחזיק את המכשיר פיזית לכבות את ההגנה הזאת בלי לפתוח את המכשיר. אפל כתבה שהיא מודעת לדיווח על ניצול בתקיפה מתוחכמת במיוחד נגד אנשים מסוימים שנבחרו כמטרה.

מה החולשה?

כשמכשיר נעול, המערכת אמורה לזכור שהיא נעולה ולהתייחס בהתאם לכל מה שמתחבר אליה בכבל. אפל תיארה את התיקון כשיפור בניהול המצב של המערכת, וזה בדיוק העניין: המכשיר מגיע למצב שבו הוא מתייחס לחיבור כאילו אושר, כשלמעשה איש לא אישר אותו. לסוג הבאג הזה קוראים אכיפת הרשאות שגויה, כלומר ההרשאה קיימת ונבדקת, אבל היא נפסקת לטובת מי שלא היה אמור לקבל אותה.

הציון של החולשה הוא 6.1, נמוך יחסית, ולכך יש סיבה אחת שמופיעה בפרופיל ה-CVSS: התקיפה דורשת גישה פיזית. תוקף שיושב בצד השני של העולם אינו יכול לגעת בה. הוא צריך את המכשיר בידיים.

וכאן הפער שהופך את החולשה הזאת למעניינת. הציון נמוך, ובכל זאת אפל עצמה מדווחת שהיא שימשה בתקיפה ממוקדת. ציון CVSS מודד את המרחק הטכני מהתוקף אל היעד, לא את מידת העניין של תוקף מסוים ביעד מסוים.

מי מושפע?

iOS ו-iPadOS בגרסאות שלפני 15.8.4, גרסאות 16 שלפני 16.7.11, גרסאות 17 של iPadOS עד 17.7.5, וגרסאות 18 שלפני 18.3.1. אפל פרסמה תיקון לכל אחד מהענפים האלה בנפרד, כך שגם מכשיר ישן שאינו יכול לעלות לגרסה 18 מקבל גרסה מתוקנת.

בישראל האייפון נפוץ מאוד, ולכן מספר המכשירים שהיו ברשימה גדול. האופי של החולשה מצמצם את התמונה: מי שהמכשיר שלו אינו יוצא מידיו אינו נמצא במסלול התקיפה. מי שהמכשיר שלו עלול להילקח, להישאר ללא השגחה או להימסר לידיים אחרות, נמצא בו בדיוק.

האם מנוצלת בפועל?

כן, ולפי מה שאפל עצמה כתבה, בצורה מאוד ספציפית. בתיאור הרשמי היא מציינת שהיא מודעת לדיווח שלפיו ייתכן שהחולשה נוצלה בתקיפה מתוחכמת במיוחד נגד יחידים שנבחרו כמטרה. שימו לב לניסוח הזהיר. זה דיווח, ואפל מוסרת אותו כדיווח.

ב-12 בפברואר 2025 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, רשימת החולשות שידוע על ניצולן בשטח, עם מועד יעד לתיקון בגופים הפדרליים ב-5 במרץ 2025.

מה עושים?

עדכנו את המכשיר. בהגדרות, כללי, עדכון תוכנה. הגרסה שסוגרת את החולשה בענף שלכם היא 18.3.1 למי שעל 18, 17.7.5 ל-iPadOS בענף 17, 16.7.11 למי שעל 16, ו-15.8.4 למי שעל 15.

אם המכשיר מציע לכם גרסה חדשה יותר מאלה, היא כוללת כמובן גם את התיקון הזה. הנקודה שכדאי לקחת מכאן היא שאין צורך להחליף מכשיר ישן כדי לקבל אותו, מפני שאפל פרסמה גרסה מתוקנת לכל אחד מהענפים.

ולמי שהמכשיר שלו יצא מרשותו בתקופה שלפני העדכון: התיקון מונע את הניצול מכאן והלאה, הוא אינו מבטל מה שכבר קרה. במקרה כזה שווה להתייחס למכשיר כאל מכשיר שנגעו בו, ולא להסתפק בהתקנת העדכון.