Actualización de emergencia de Apple soluciona nueva vulnerabilidad zero-day utilizada para hackear iPhones
"Apple tiene conocimiento de un informe que sugiere que este problema pudo haber sido activamente explotado en versiones de iOS anteriores a iOS 16.6", dijo la compañía en un aviso emitido el miércoles.
La vulnerabilidad zero-day (CVE-2023-42824) es causada por una debilidad descubierta en el kernel XNU que permite a atacantes locales escalar privilegios en iPhones e iPads no parcheados.
Aunque Apple afirmó que abordó el problema de seguridad en iOS 17.0.3 y iPadOS 17.0.3 con mejoras en las comprobaciones, aún no ha revelado quién encontró y reportó la falla.
La lista de dispositivos afectados es bastante extensa e incluye:
- iPhone XS y posteriores
- iPad Pro de 12.9 pulgadas de 2da generación en adelante, iPad Pro de 10.5 pulgadas, iPad Pro de 11 pulgadas de 1ra generación en adelante, iPad Air de 3ra generación en adelante, iPad de 6ta generación en adelante y iPad mini de 5ta generación en adelante
Apple también solucionó una vulnerabilidad zero-day rastreada como CVE-2023-5217, causada por una debilidad de desbordamiento de búfer en el heap en la codificación VP8 de la biblioteca de códecs de video de código abierto libvpx, lo que podría permitir la ejecución de código arbitrario después de una explotación exitosa.
El error de libvpx fue parcheado previamente por Google en el navegador web Chrome y por Microsoft en sus productos Edge, Teams y Skype.
CVE-2023-5217 fue descubierto por el investigador de seguridad Clément Lecigne, quien forma parte del Grupo de Análisis de Amenazas (TAG) de Google, un equipo de expertos en seguridad conocido por encontrar a menudo vulnerabilidades zero-day utilizadas en ataques de spyware respaldados por gobiernos dirigidos a individuos de alto riesgo.
17 vulnerabilidades zero-day explotadas en ataques solucionadas este año
CVE-2023-42824 es la decimoséptima vulnerabilidad zero-day explotada en ataques que Apple ha solucionado desde el inicio del año.
Apple también parcheó recientemente otras tres vulnerabilidades zero-day (CVE-2023-41991, CVE-2023-41992 y CVE-2023-41993) informadas por Citizen Lab y los investigadores de Google TAG y explotadas en ataques de spyware para instalar el spyware Predator de Cytrox.
Citizen Lab reveló otras dos vulnerabilidades zero-day (CVE-2023-41061 y CVE-2023-41064), solucionadas por Apple el mes pasado, que fueron abusadas como parte de una cadena de explotación de cero clics (denominada BLASTPASS) para infectar iPhones completamente parcheados con el spyware Pegasus de NSO Group.
Desde enero de 2023, Apple ha abordado un total de 17 vulnerabilidades zero-day explotadas para atacar iPhones y Macs, incluyendo:
- dos vulnerabilidades zero-day (CVE-2023-37450 y CVE-2023-38606) en julio
- tres vulnerabilidades zero-day (CVE-2023-32434, CVE-2023-32435 y CVE-2023-32439) en junio
- tres vulnerabilidades zero-day adicionales (CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373) en mayo
- dos vulnerabilidades zero-day (CVE-2023-28206 y CVE-2023-28205) en abril
- y otra vulnerabilidad zero-day de WebKit (CVE-2023-23529) en febrero
La versión 17.0.3 de iOS lanzada hoy también aborda un problema conocido que causa el sobrecalentamiento de los iPhones que ejecutan iOS 17.0.2 y versiones anteriores.
"Esta actualización proporciona correcciones importantes de errores, actualizaciones de seguridad y aborda un problema que puede hacer que el iPhone se caliente más de lo esperado", dijo Apple.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario