Apple ha corregido dos vulnerabilidades cibernéticas, identificadas como CVE-2023-41064 y CVE-2023-41061, que fueron explotadas activamente en una cadena de ataques denominada BLASTPASS. Estos errores permitieron a los atacantes infectar dispositivos iPhone completamente parcheados con iOS 16.6 mediante archivos adjuntos PassKit que contenían imágenes maliciosas.
Detalles técnicos
CVE-2023-41064 es un desbordamiento del búfer que se activa al procesar imágenes creadas con fines malintencionados. Por su parte, CVE-2023-41061 es un problema de validación que puede explotarse mediante archivos adjuntos maliciosos. Ambos permiten a los actores de amenazas obtener la ejecución de código arbitrario en dispositivos iPhone y iPad sin parches.
Impacto del ataque
Citizen Lab informó que el ataque fue utilizado para implementar el software espía comercial Pegasus de NSO Group en iPhones completamente parcheados. La cadena de exploits era capaz de comprometer dispositivos que ejecutaban la última versión de iOS (16.6) sin ninguna interacción por parte de la víctima.
Respuesta de Apple
Apple abordó las fallas en macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 y watchOS 9.6.2 con lógica y manejo de memoria mejorados.
Dispositivos afectados
- iPhone 8 y posterior
- iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores
- Macs con macOS Ventura
- Apple Watch Serie 4 y posteriores
Vulnerabilidades previas corregidas por Apple
Desde principios de año, Apple ha solucionado un total de 13 ataques Zero-Days dirigidos a dispositivos que ejecutan iOS, macOS, iPadOS y watchOS. Entre ellos se incluyen:
- Dos cero-días (CVE-2023-37450 y CVE-2023-38606) en julio
- Tres cero-días (CVE-2023-32434, CVE-2023-32435 y CVE-2023-32439) en junio
- Tres más cero-días (CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373) en mayo
- Dos cero-días (CVE-2023-28206 y CVE-2023-28205) en abril
- Y otro cero-día de WebKit (CVE-2023-23529) en febrero
Citizen Lab instó a los clientes de Apple a actualizar sus dispositivos de inmediato y alentó a aquellos en riesgo de sufrir ataques dirigidos debido a su identidad o profesión a activar el modo de LockDown.