Actualización de emergencia de Apple soluciona 3 nuevas vulnerabilidades zero-day explotadas en ataques
Apple ha lanzado actualizaciones de seguridad de emergencia para parchar tres nuevas vulnerabilidades zero-day que han sido explotadas en ataques dirigidos a usuarios de iPhone y Mac, sumando un total de 16 vulnerabilidades zero-day corregidas este año.
Se encontraron dos errores en el motor de navegación WebKit (CVE-2023-41993) y el marco de seguridad (CVE-2023-41991), que permiten a los atacantes eludir la validación de firmas mediante aplicaciones maliciosas o ejecutar código arbitrario a través de páginas web maliciosamente diseñadas.
La tercera vulnerabilidad se encontró en el Framework del Kernel, que proporciona API y soporte para extensiones de kernel y controladores de dispositivos residentes en el kernel. Los atacantes locales pueden explotar esta falla (CVE-2023-41992) para escalar privilegios.
Apple solucionó los tres errores zero-day en macOS 12.7/13.6, iOS 16.7/17.0.1, iPadOS 16.7/17.0.1 y watchOS 9.6.3/10.0.1 al abordar un problema de validación de certificados y a través de controles mejorados.
"Apple tiene conocimiento de un informe que indica que este problema podría haber sido explotado activamente en versiones de iOS anteriores a iOS 16.7", reveló la compañía en los avisos de seguridad que describen las vulnerabilidades de seguridad.
La lista de dispositivos afectados incluye modelos más antiguos y más nuevos, e incluye:
- iPhone 8 y posteriores
- iPad mini de 5ª generación y posteriores
- Macs que ejecutan macOS Monterey y versiones más recientes
- Apple Watch Series 4 y posteriores
Las tres vulnerabilidades zero-day fueron encontradas y reportadas por Bill Marczak del Citizen Lab de la Universidad de Toronto, Munk School, y Maddie Stone del Grupo de Análisis de Amenazas de Google.
Aunque Apple aún no ha proporcionado detalles adicionales sobre la explotación de las vulnerabilidades en la vida real, los investigadores de seguridad de Citizen Lab y el Grupo de Análisis de Amenazas de Google han revelado en varias ocasiones vulnerabilidades zero-day utilizadas en ataques de spyware dirigidos a individuos de alto riesgo, incluyendo periodistas, políticos de oposición y disidentes.
Citizen Lab reveló otras dos vulnerabilidades zero-day (CVE-2023-41061 y CVE-2023-41064), también corregidas por Apple en actualizaciones de seguridad de emergencia a principios de este mes y utilizadas como parte de una cadena de exploits de cero clic (denominada BLASTPASS) para infectar iPhones completamente parcheados con el spyware comercial Pegasus de NSO Group.
Desde el inicio del año, Apple también ha parcheado:
- dos vulnerabilidades zero-day (CVE-2023-37450 y CVE-2023-38606) en julio
- tres vulnerabilidades zero-day (CVE-2023-32434, CVE-2023-32435 y CVE-2023-32439) en junio
- tres vulnerabilidades zero-day más (CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373) en mayo
- dos vulnerabilidades zero-day (CVE-2023-28206 y CVE-2023-28205) en abril
- y otra vulnerabilidad zero-day de WebKit (CVE-2023-23529) en febrero
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario