Apple ha corregido tres nuevas vulnerabilidades que podrían haber sido explotadas en ataques activos contra iPhones, Macs y iPads. La empresa reveló estos hallazgos en sus advertencias de seguridad, indicando que es consciente de que el problema puede haber sido aprovechado por atacantes.
Vulnerabilidades identificadas
Las tres vulnerabilidades se encuentran en el motor de navegador WebKit y están catalogadas como CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373. La primera es un escape de sandbox que permite a los atacantes remotos escapar del entorno de contenido web. Las otras dos son una lectura más allá de los límites, que puede facilitar el acceso a información confidencial, y un problema de uso posterior a la liberación, que permite la ejecución de código arbitrario en dispositivos comprometidos.
Correcciones implementadas
Apple abordó las tres vulnerabilidades en macOS Ventura 13.4, iOS y iPadOS 16.5, tvOS 16.5, watchOS 9.5 y Safari 16.5 mediante mejoras en controles de límite, validación de entrada y administración de memoria.
Dispositivos afectados
La lista de dispositivos afectados es amplia, abarcando modelos antiguos y nuevos. Entre ellos se incluyen:
- iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Air 2, iPad mini (4.ª generación), iPod touch (7.ª generación) y iPhone 8 y posteriores
- iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, iPad mini de 5.ª generación y posteriores
- Mac con macOS Big Sur, Monterey y Ventura
- Apple Watch Serie 4 y posteriores
- Apple TV 4K (todos los modelos) y Apple TV HD
Historial de parches anteriores
La compañía también reveló que CVE-2023-28204 y CVE-2023-32373 se abordaron por primera vez con parches de respuesta de seguridad rápida (RSR) para dispositivos iOS 16.4.1 y macOS 13.3.1 emitidos el 1 de mayo.
Historial de vulnerabilidades corregidas
Apple ha abordado varios Zero-Days desde principios de 2023, incluyendo CVE-2023-28206 y CVE-2023-28205 en abril. En febrero se corrigió otro Zero-Day de WebKit (CVE-2023-23529) que fue explotado en ataques para eludir la ejecución de código en dispositivos vulnerables.
Las organizaciones que forman parte de los investigadores publican regularmente detalles sobre campañas respaldadas por el estado que aprovechan errores iniciales para implementar spyware mercenario en teléfonos inteligentes y computadoras de políticos, periodistas, disidentes y más.