Apple lanza actualizaciones urgentes para parchear una nueva vulnerabilidad zero-day de iPhone y iPad

Apple lanzó el lunes una actualización de seguridad para iOS y iPad para abordar una vulnerabilidad crítica que, según dice, está siendo explotada en el entorno. Este escenario la convierte en la decimoséptima vulnerabilidad de día cero (zero-day) que la compañía ha abordado en sus productos desde principios de año. Es decir, la seguridad de sus productos de la cual Apple se ha jactado por años está siendo fuertemente golpeada.

La vulnerabilidad, a la que se le asignó el identificador CVE-2021-30883, se refiere a un problema de corrupción de memoria en el componente “IOMobileFrameBuffer”. Esta vulnerabilidad podría permitir que una aplicación ejecute código arbitrario con privilegios del kernel. Al acreditar a un investigador anónimo por informar sobre la vulnerabilidad, Apple dijo que “está al tanto de un informe de que este problema puede haber sido explotado activamente”.

Los detalles técnicos sobre la vulnerabilidad y la naturaleza de los ataques aún no están disponibles. Tampoco conocemos, hasta este momento la identidad del actor de la amenaza, para permitir que la mayoría de los usuarios apliquen el parche y evitar que otros atacantes utilicen la vulnerabilidad como arma. El fabricante del iPhone dijo que abordó el problema mejorando la gestión de memoria.

Exploit de prueba de concepto

El investigador de seguridad Saar Amar compartió detalles adicionales y un exploit de prueba de concepto (PoC). Y, señaló que “esta superficie de ataque es muy interesante porque se puede acceder desde la zona de pruebas de la aplicación (por lo que es excelente para los jailbreaks) y muchos otros procesos. Es decir, todo eso la convierte en una buena candidata para exploits LPE (escalamiento de privilegios locales) en cadenas”.

CVE-2021-30883 es ​​también el segundo impacto de día cero en IOMobileFrameBuffer después de que Apple abordara un problema similar de corrupción de memoria informado de forma anónima (CVE-2021-30807) en julio de 2021. Esta segunda vulnerabilidad crítica plantea la posibilidad de que las dos vulnerabilidades puedan estar relacionadas. Con la última solución, la compañía ha resuelto un récord de 17 días cero hasta esta fecha solo en 2021.

Listado de vulnerabilidades críticas de Apple – 2021 

• CVE-2021-1782 (Kernel): una aplicación maliciosa puede elevar los privilegios
• CVE-2021-1870 (WebKit): un atacante remoto puede provocar la ejecución de código arbitrario
• CVE-2021-1871 (WebKit): un atacante remoto puede provocar la ejecución de código arbitrario
• CVE-2021-1879 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede generar secuencias de comandos universales entre sitios
• CVE-2021-30657 (Preferencias del sistema): una aplicación malintencionada puede evadir las comprobaciones de Gatekeeper
• CVE-2021-30661 (WebKit Storage): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30663 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30665 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30666 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30713 (framework TCC): una aplicación malintencionada puede evadir las preferencias de privacidad
• CVE-2021-30761 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30762 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30807 (IOMobileFrameBuffer): una aplicación puede ejecutar código arbitrario con privilegios del kernel
• CVE-2021-30858 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30860 (CoreGraphics): el procesamiento de un PDF creado con fines malintencionados puede provocar la ejecución de código arbitrario
• CVE-2021-30869 (XNU): una aplicación maliciosa puede ejecutar código arbitrario con privilegios del kernel

Recomendaciones

Si eres usuario de los productos de Apple como iPhone y iPad te recomendamos encarecidamente que actualices tus dispositivos a las últimas versiones (iOS 15.0.2 y iPad 15.0.2). La actualización te ayudará para mitigar esta vulnerabilidad crítica de seguridad.