Apple ha lanzado otra serie de parches de seguridad para abordar tres vulnerabilidades de día cero que están siendo activamente explotadas en iOS, iPadOS, macOS, watchOS y Safari, elevando el total de errores de día cero descubiertos en su software este año a 16.
La lista de vulnerabilidades de seguridad es la siguiente:
CVE-2023-41991: Un problema de validación de certificado en el marco de seguridad que podría permitir que una aplicación maliciosa evite la validación de la firma.
CVE-2023-41992: Una vulnerabilidad de seguridad en el Kernel que podría permitir que un atacante local eleve sus privilegios.
CVE-2023-41993: Una falla en WebKit que podría resultar en la ejecución de código arbitrario al procesar contenido web especialmente diseñado.
Apple no proporcionó detalles adicionales, excepto el reconocimiento de que "el problema podría haber sido explotado activamente en versiones de iOS anteriores a iOS 16.7".
Las actualizaciones están disponibles para los siguientes dispositivos y sistemas operativos:
iOS 16.7 y iPadOS 16.7: iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air 3ª generación y posteriores, iPad 5ª generación y posteriores, e iPad mini 5ª generación y posteriores.
iOS 17.0.1 y iPadOS 17.0.1: iPhone XS y posteriores, iPad Pro 12.9 pulgadas 2ª generación y posteriores, iPad Pro 10.5 pulgadas, iPad Pro 11 pulgadas 1ª generación y posteriores, iPad Air 3ª generación y posteriores, iPad 6ª generación y posteriores, e iPad mini 5ª generación y posteriores.
macOS Monterey 12.7 y macOS Ventura 13.6.
watchOS 9.6.3 y watchOS 10.0.1: Apple Watch Series 4 y posteriores.
Safari 16.6.1: macOS Big Sur y macOS Monterey.
Las personas acreditadas con el descubrimiento y la notificación de estas vulnerabilidades son Bill Marczak de Citizen Lab de la Munk School de la Universidad de Toronto y Maddie Stone del Grupo de Análisis de Amenazas (TAG) de Google. Esto indica que podrían haber sido explotadas como parte de spyware altamente dirigido dirigido a miembros de la sociedad civil que están en un mayor riesgo de amenazas cibernéticas.
Esta revelación llega dos semanas después de que Apple resolviera dos otros ataques de día cero activamente explotados (CVE-2023-41061 y CVE-2023-41064) que se habían utilizado como parte de una cadena de explotación de iMessage sin clics llamada BLASTPASS para desplegar un spyware mercenario conocido como Pegasus.
Luego, tanto Google como Mozilla enviaron correcciones para contener una vulnerabilidad de seguridad (CVE-2023-4863) que podría resultar en la ejecución de código arbitrario al procesar una imagen especialmente diseñada.
Hay evidencia que sugiere que tanto CVE-2023-41064, una vulnerabilidad de desbordamiento de búfer en el marco de análisis de imágenes de Image I/O de Apple, como CVE-2023-4863, un desbordamiento de búfer en el libro de imágenes WebP (libwebp), podrían referirse al mismo error, según Ben Hawkes, fundador de Isosceles y exinvestigador de Google Project Zero.
Rezilion, en un análisis publicado el jueves, reveló que la biblioteca libwebp se utiliza en varios sistemas operativos, paquetes de software, aplicaciones de Linux e imágenes de contenedores, destacando que el alcance de la vulnerabilidad es mucho más amplio de lo inicialmente asumido.
"La buena noticia es que el error parece haberse parcheado correctamente en la versión principal de libwebp, y ese parche está llegando a todos los lugares donde debería llegar", dijo Hawkes. "La mala noticia es que libwebp se usa en muchos lugares, y podría pasar un tiempo hasta que el parche se extienda por completo".
¿Quieres saber más?
Comments