Se han identificado dos nuevas vulnerabilidades de tipo Zero-Day afectando a las versiones iOS y iPadOS 17.4, lo que permite a los actores maliciosos eludir las protecciones de la memoria y ejecutar operaciones arbitrarias de lectura y escritura del kernel en dispositivos afectados.
Vulnerabilidades identificadas
Estas vulnerabilidades han sido asignadas los identificadores CVE-2024-23225 y CVE-2024-23296. Apple ha proporcionado parches para resolver estas brechas de seguridad.
CVE-2024-23225
Esta vulnerabilidad surge en el kernel de iOS debido a un problema de corrupción de la memoria, lo que permite a los actores maliciosos ejecutar operaciones arbitrarias de lectura y escritura del kernel, evitando las protecciones del sistema.
CVE-2024-23296
Esta vulnerabilidad afecta al sistema RTKit, que actúa como el sistema operativo en tiempo real de Apple. Este componente es ampliamente utilizado en varios dispositivos, incluidos iPhone, iPad y Apple Watch.
La vulnerabilidad refleja el problema mencionado anteriormente, permitiendo a los actores maliciosos ejecutar operaciones de lectura/escritura arbitrarias en el kernel, evitando las protecciones del sistema.
Productos afectados
Los dispositivos afectados incluyen iPhone XS y modelos posteriores, iPad Pro de 12,9 pulgadas de segunda generación y posteriores, iPad Pro de 10,5 pulgadas, iPad Pro de 11 pulgadas de primera generación y posteriores, iPad Air de tercera generación y posteriores, iPad de sexta generación y posteriores, así como el iPad mini 5ta generación y posteriores. Los Mac no están afectados.
Resolución de otras vulnerabilidades
Además, Apple ha abordado CVE-2024-23256 y CVE-2024-23243, que estaban relacionadas con la accesibilidad y la navegación privada segura. La empresa insta a sus usuarios a instalar rápidamente los últimos parches y actualizaciones de seguridad para mitigar el riesgo de explotación por parte de actores maliciosos.
Apple reconoció que se han reportado casos en los que los actores de amenazas pueden haber explotado estas vulnerabilidades de forma activa.