Apple Parchea Vulnerabilidad de Día Cero en iOS y MacOS que 'Podría Haber Sido Explotada'

Clientes revisan el recién lanzado iPhone 15 en la tienda insignia de Apple en Shanghai, China, el 24 de septiembre de 2023. 

Apple ha lanzado una serie de parches de seguridad para abordar una variedad de vulnerabilidades, incluyendo una de día cero que "podría haber sido explotada" en iPhones, iPads y computadoras Macintosh.

La vulnerabilidad de día cero específica (CVE-2024-23222) es un bug de Webkit que puede llevar a la ejecución arbitraria de código al procesar contenido web maliciosamente diseñado. Apple lo describió como un "tipo de problema de confusión [que] se abordó con controles mejorados" en productos que ejecutan:

• iOS17.3 e iPadOs 17.3 (iPhone XS y modelos posteriores, iPad Pro 12.9 pulgadas 2da generación y posteriores, iPhone XS y posteriores, iPad Pro 12.9 pulgadas 2da generación y posteriores, iPad Pro 10.5 pulgadas, iPad Pro 11 pulgadas 1ra generación y posteriores, iPad Air 3ra generación y posteriores, iPad 6ta generación y posteriores, y iPad mini 5ta generación y posteriores)
• iOS 16.7.5 y iPadOS 16.7.5 (iPhone 8, iPhone 8 Plus, iPhone X, iPad 5ta generación, iPad Pro 9.7 pulgadas y iPad Pro 12.9 pulgadas 1ra generación)
• macOS Sonoma 14.3
• macOS Ventura 13.6.4
• macOS Monterey 12.7.3
• tvOS 17.3
• Safari 17.3

Apple no reveló detalles adicionales sobre la vulnerabilidad en este momento "por la protección de nuestros clientes". La respuesta opaca es típica de Apple y otros proveedores que quieren advertir e incentivar a los clientes a parchear sus sistemas sin dar pistas a los criminales que trabajan para explotar la vulnerabilidad antes de que sea parcheada.

Una nueva forma de abordar las actualizaciones de seguridad, Apple implementó la Respuesta Rápida de Seguridad en agosto "para entregar mejoras de seguridad importantes entre actualizaciones de software" que "también se pueden usar para mitigar algunos problemas de seguridad más rápidamente, como problemas que podrían haber sido explotados 'en el campo'".

La Agencia de Ciberseguridad e Infraestructura de Seguridad de EE. UU. emitió una alerta el 23 de enero sobre las actualizaciones de seguridad de Apple, que es la primera de Apple en 2024. Apple parcheó 20 bugs de día cero o de "clic cero" el año pasado.

Además de CVE-2024-23222, otro bug de Webkit, CVE-2024-23206, permitía a un sitio web maliciosamente diseñado "identificar a un usuario", mientras que un tercer bug de Webkit, CVE-2024-23214, también podría llevar a la ejecución arbitraria de código al visitar una página web maliciosamente diseñada.

Los ataques de phishing basados en navegadores aumentaron un 198% en 2023, según la investigación de Menlo Security que se publicará el 24 de enero. Esa cifra saltó al 206% al observar ataques clasificados como evasivos, según la firma de ciberseguridad, que utiliza una variedad de técnicas destinadas a evadir los controles de seguridad tradicionales.

Dada la información limitada proporcionada por Apple y Google sobre los primeros días cero de navegadores de 2024, CVE-2024-23222 y CVE-2024-0519, respectivamente, Lionel Litty, Arquitecto Jefe de Seguridad de Menlo, dijo que era difícil decir si la misma vulnerabilidad fue explotada ya que el CVE de Chrome estaba en el motor de JavaScript (v8) y Safari usa un motor de JavaScript diferente. Sin embargo, no es raro que diferentes implementaciones tengan fallas muy similares, continuó.

"Una vez que los atacantes han encontrado un punto débil en un navegador, también son conocidos por sondear otros navegadores en la misma área", dijo Litty. "Así que, aunque es poco probable que sea exactamente la misma vulnerabilidad, no sería demasiado sorprendente si hubiera algo de ADN compartido entre los dos exploits en el campo".

Fuente y créditos: Apple patches zero day affecting operating systems for devices, Macs | SC Media (scmagazine.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.