Apple acaba de publicar una breve y precisa serie de correcciones de seguridad para Mac, iPhone y iPad.

Todas las versiones compatibles de macOS (Big Sur, Monterey y Ventura) tienen parches que debe instalar, pero solo las versiones móviles de iOS 16 y iPadOS 16 tienen actualizaciones disponibles actualmente.

Como siempre, aún no podemos decirle si los usuarios de iOS 15 y iPadOS 15 con dispositivos más antiguos son inmunes y, por lo tanto, no necesitan un parche, están en riesgo y recibirán un parche en los próximos días, o si son potencialmente vulnerables pero van a quedar afuera en el frío.

En estas actualizaciones se abordan dos errores diferentes; importante, ambas vulnerabilidades se describen no solo como conducentes a “ejecución de código arbitrario”, pero también como “activamente explotado”, convirtiéndolos en agujeros de día cero.

Hackea tu navegador, luego pwn el kernel

Los errores son:

• CVE-2023-28205: Un agujero de seguridad en WebKit, por lo que simplemente visitar un sitio web con trampas explosivas podría dar a los ciberdelincuentes control sobre su navegador, o incluso cualquier aplicación que use WebKit para representar y mostrar contenido HTML. (WebKit es el subsistema de visualización de contenido web de Apple). Muchas aplicaciones usan WebKit para mostrar vistas previas de páginas web, mostrar texto de ayuda o incluso para generar una atractiva pantalla Acerca de. El propio navegador Safari de Apple usa WebKit, lo que lo hace directamente vulnerable a los errores de WebKit. Además, las reglas de la tienda de aplicaciones de Apple significan que todos los navegadores en iPhones y iPads deben usar WebKit, lo que hace que este tipo de error sea un verdadero problema entre navegadores para los dispositivos móviles de Apple.
• CVE-2023-28206: Un error en el código de visualización IOSurfaceAccelerator de Apple. Este error permite que una aplicación local trampa explosiva inyecte su propio código malicioso directamente en el kernel del sistema operativo. Los errores de ejecución del código del kernel son inevitablemente mucho más graves que los errores a nivel de la aplicación, porque el kernel es responsable de administrar la seguridad de todo el sistema, incluidos los permisos que pueden adquirir las aplicaciones y la libertad con la que las aplicaciones pueden compartir archivos y datos entre ellas.

Irónicamente, los errores a nivel del kernel que se basan en una aplicación con trampa explosiva a menudo no son de mucha utilidad por sí solos contra los usuarios de iPhone o iPad, porque las estrictas reglas de "jardín amurallado" de la App Store de Apple dificultan que los atacantes lo engañen instalando una aplicación no autorizada. en primer lugar.

No puede salir del mercado e instalar aplicaciones de una fuente secundaria o no oficial, incluso si lo desea, por lo que los delincuentes primero tendrían que infiltrar su aplicación maliciosa en la App Store antes de que puedan intentar convencerlo para que la instale.

Pero cuando los atacantes pueden combinar un error que destruye el navegador remoto con un agujero local que destruye el kernel, pueden eludir el problema de la App Store por completo.

Aparentemente, esa es la situación aquí, donde el primer error (CVE-2023-28205) permite a los atacantes controlar la aplicación del navegador de su teléfono de forma remota...

…en ese momento, tienen una aplicación trampa que pueden usar para explotar el segundo error (CVE-2023-28206) para hacerse cargo de todo su dispositivo.

Y recuerde que debido a que todas las aplicaciones de la App Store con capacidades de visualización web deben usar WebKit, el error CVE-2023-28205 lo afecta incluso si ha instalado un navegador de terceros para usar en lugar de Safari.

Reportado en la naturaleza por activistas

Lo preocupante de ambos errores no es solo que son agujeros de día cero, lo que significa que los atacantes los encontraron y ya los estaban usando antes de que se descubrieran los parches, sino también que fueron informados por “Clément Lecigne del Grupo de Análisis de Amenazas de Google y Donncha Ó Cearbhaill del Laboratorio de Seguridad de Amnistía Internacional”.

Apple no da más detalles que eso, pero no es un gran salto asumir que este error fue detectado por activistas de privacidad y justicia social en Amnistía e investigado por los encargados de la respuesta a incidentes en Google.

Si es así, es casi seguro que estamos hablando de agujeros de seguridad que se pueden usar, y ya se han usado, para implantar spyware.

Aunque esto sugiera un ataque dirigido y, por lo tanto, que la mayoría de nosotros probablemente no estemos en el extremo receptor del mismo, sin embargo, implica que estos errores funcionan de manera efectiva en la vida real contra víctimas desprevenidas.

En pocas palabras, debe asumir que estas vulnerabilidades representan un peligro claro y presente, y no son solo agujeros de prueba de concepto o riesgos teóricos.

¿Qué hacer?

¡Actualizar ahora!

Es posible que Apple ya le haya ofrecido la actualización; si no lo has hecho, o te lo ofrecieron pero lo rechazaste por el momento, te sugerimos forzar una comprobación de actualizaciones tan pronto como puedas.

Las actualizaciones disponibles son:

• HT213722: Safari 16.4.1. Esto cubre CVE-2023-28205 (solo el error de WebKit) para Mac que ejecutan Big Sur y Monterey. El parche no está empaquetado como una nueva versión del sistema operativo en sí, por lo que su número de versión de macOS no cambiará.
• HT213721: MacOS Ventura 13.3.1. Esto cubre ambos errores para la última versión de macOS e incluye la actualización de Safari que se ha incluido por separado para los usuarios de Mac más antiguas.
• HT213720: iOS 16.4.1 y iPadOS 16.4.1. Esto cubre los errores de iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores.

Si todavía tiene iOS 15 o iPadOS 15, mire este espacio (o mantenga sus ojos en el de Apple HT201222 portal de seguridad) en caso de que usted también necesite una actualización.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://nakedsecurity.sophos.com/2023/04/08/apple-issues-emergency-patches-for-spyware-style-0-day-exploits-update-now/