Apple ha publicado actualizaciones de seguridad para abordar dos nuevas vulnerabilidades Zero-Days que han sido explotadas en ataques contra iPhones, Macs y iPads. La compañía informó que estos problemas pueden haber sido utilizados activamente por actores maliciosos.
Actualizaciones de seguridad
Las vulnerabilidades fueron corregidas mediante actualizaciones para iOS 15.7.5, iPadOS 15.7.5, macOS Monterey 12.6.5 y macOS Big Sur 11.7.6. Estas correcciones mejoran la validación de entradas y la gestión de memoria en los sistemas afectados.
Orden de CISA
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ordenó a las agencias federales parchear dos vulnerabilidades que han sido explotadas activamente. Esta acción se basa en una Directiva Operativa vinculante emitida en noviembre de 2022, la cual obliga a las agencias del Poder Ejecutivo Civil Federal (FCEB) a parchear sus sistemas contra todos los fallos de seguridad añadidos al catálogo de Vulnerabilidades Explotadas Conocidas de CISA.
Vulnerabilidades identificadas
El primer fallo, con CVE-2023-28206, es una escritura fuera de los límites en IOSurfaceAccelerator, que podría provocar la corrupción de datos, un bloqueo o la ejecución de código. Una explotación exitosa permite a los atacantes utilizar una aplicación maliciosa para ejecutar código arbitrario con privilegios de kernel.
El segundo día cero, con CVE-2023-28205, es una debilidad en WebKit que permite la corrupción de datos o la ejecución de código arbitrario al reutilizar la memoria liberada. Esta vulnerabilidad se clasifica como use-after-free, lo que permite a los actores de amenazas ejecutar código malicioso en dispositivos hackeados tras engañar a los usuarios para que carguen páginas web maliciosas.
Dispositivos afectados
Apple abordó ambos Zero-Days en iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 y Safari 16.4.1. La lista de dispositivos afectados incluye:
- iPhone 8 y posteriores,
- iPad Pro (todos los modelos),
- iPad Air de 3ª generación y posteriores,
- iPad 5ª generación y posteriores,
- iPad mini de 5ª generación y posteriores,
- y los Mac con macOS Ventura.
Descubrimiento por organizaciones de seguridad
Las vulnerabilidades fueron descubiertas por el Grupo de Análisis de Amenazas de Google y el Laboratorio de Seguridad de Amnistía Internacional, mientras eran explotadas en ataques como parte de una cadena de exploits.
Atribución a investigadores
Clément Lecigne del Grupo de Análisis de Amenazas de Google y Donncha Ó Cearbhaill del Laboratorio de Seguridad de Amnistía Internacional son las personas a las que Apple atribuye la notificación de los fallos.
Actividades de actores de amenaza
Ambas organizaciones informan con frecuencia sobre campañas de actores de amenazas patrocinados por gobiernos, en las que se aprovechan vulnerabilidades Zero-Day para instalar programas espía en dispositivos de personas de alto riesgo, como políticos, periodistas y disidentes.
Información adicional
Google TAG y Amnistía Internacional compartieron más información sobre otras vulnerabilidades Zero-Day y Día N de Android, iOS y Chrome que han sido explotadas en dos campañas recientes para desplegar programas espía comerciales.
Vulnerabilidad previa
Hace dos meses, Apple solucionó otra vulnerabilidad Zero-Day de WebKit (CVE-2023-23529) que se aprovechó para provocar bloqueos del sistema operativo y obtener la ejecución de código en dispositivos vulnerables.