Apple parchea el error del navegador "día 0" solucionado hace 2 semanas en Chrome, Edge

Apple ha lanzado sus últimos parches, corrigiendo más de 50 vulnerabilidades de seguridad numeradas por CVE en su gama de productos compatibles.

Los boletines de seguridad relevantes, los números de actualización y dónde encontrarlos en línea son los siguientes:

• MANZANA-SA-2022-07-20-1: iOS 15.6 y iPadOS 15.6, detalles en HT213346
• MANZANA-SA-2022-07-20-2: macOS Monterrey 12.5, detalles en HT213345
• MANZANA-SA-2022-07-20-3: macOS Big Sur 11.6.8, detalles en HT213344
• MANZANA-SA-2022-07-20-4: Actualización de seguridad 2022-005 Catalina, detalles en HT213343
• MANZANA-SA-2022-07-20-5: tvOS 15.6, detalles en HT213342
• MANZANA-SA-2022-07-20-6: watchOS 8.7, detalles en HT213340
• MANZANA-SA-2022-07-20-7: safari 15.6, detalles en HT213341

Como es habitual en Apple, los parches del navegador Safari se incluyen en las actualizaciones para la última versión de macOS (Monterey), así como en las actualizaciones para iOS y iPad OS.

Pero las actualizaciones de las versiones anteriores de macOS no incluyen Safari, por lo que la actualización independiente de Safari (ver HT213341 arriba), por lo tanto, se aplica a los usuarios de versiones anteriores de macOS (tanto Big Sur como Catalina todavía son oficialmente compatibles), quienes deberán descargar e instalar dos actualizaciones, no solo una.

Un día cero honorario

Por cierto, si tienes una Mac con una versión anterior de macOS, no te olvides de esa segunda descarga para Safari, porque es de vital importancia, al menos hasta donde podemos ver.

Esto se debe a que uno de los parches relacionados con el navegador en esta ronda de actualizaciones se ocupa de una vulnerabilidad en WebRTC (comunicaciones web en tiempo real) conocido como CVE-2022-2294...

…y si ese número te suena familiar, debería serlo, porque es el mismo error que fijado como un día cero por Google en Chrome (y por Microsoft en Edge) hace unas dos semanas:

Curiosamente, Apple no ha declarado ninguna de las vulnerabilidades de este mes como "informadas como en la naturaleza", o como "errores de día cero", a pesar del parche mencionado anteriormente que Google denominó un agujero de día cero.

Ya sea porque el error no es tan fácil de explotar en Safari, o simplemente porque nadie ha rastreado ningún mal comportamiento específico de Safari a este defecto en particular, no podemos decírtelo, pero lo estamos tratando como un "honorario". vulnerabilidad de día cero”, y parcheando celosamente como resultado.

Pwn2Own hoyo cerrado

Aparentemente, Apple también solucionó el error encontrado por el investigador alemán de ciberseguridad Manfred Paul en la reciente competencia Pwn2Own en Canadá, en mayo de 2022.

Último podcast 🎧 ¡Escúchalo ahora! Firefox & Pwn2Own, Apple y un día 0… y las matemáticas que derrotaron a Pitágoras.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Seguridad desnuda (@NakedSecurity) 20 de mayo de 2022

Manfred Paul explotó Firefox con un error de dos etapas que le valió $ 100,000 ($ 50,000 por cada parte) y también ingresó a Safari, por una recompensa adicional de $ 50,000.

De hecho, Mozilla publicó su solución para los errores de Paul. dentro de dos dias de recibir su informe en Pwn2Own:

Apple, por el contrario, tardó dos meses en entregar su parche posterior a Pwn2Own:

WebKit

Repercusiones: El procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario

Descripción: Se solucionó un problema de escritura fuera de los límites mejorando la validación de entrada.

CVE-2022-32792: Manfred Paul (@_manfp) trabajando con Trend Micro Zero Day Initiative [Pwn2Own]

Recuerde, sin embargo, que la divulgación responsable es parte de la competencia Pwn2Own, lo que significa que cualquier persona que reclame un premio debe no solo entregar los detalles completos de su vulnerabilidad al proveedor afectado, sino también guardar silencio sobre la vulnerabilidad hasta que se lance el parche. .

En otras palabras, por loable y emocionante que haya sido el tiempo de entrega del parche de dos días de Mozilla, la respuesta mucho más lenta de Apple es, sin embargo, aceptable.

Las transmisiones de video en vivo que puede haber visto de Pwn2Own sirvieron para indicar si el ataque de cada competidor tuvo éxito, en lugar de revelar información sobre cómo funcionó realmente el ataque. Las pantallas de video utilizadas por los competidores estaban de espaldas a la cámara, por lo que se podían ver las caras de los competidores y jueces, pero no lo que estaban escribiendo o mirando.

Ataques en varias etapas

Como es habitual, los numerosos errores parcheados por Apple en estas actualizaciones incluyen vulnerabilidades que, en teoría, podrían estar encadenadas por determinados atacantes.

Un error enumerado con la condición de que "una aplicación con privilegios de root puede ejecutar código arbitrario con privilegios de kernel" no suena terriblemente preocupante al principio.

Después de todo, si un atacante ya tiene poderes de root, de todos modos tiene prácticamente el control de su computadora.

Pero cuando nota un error en otra parte del sistema que aparece con la advertencia de que "una aplicación puede obtener privilegios de root", puede ver cómo la última vulnerabilidad podría ser un trampolín conveniente y no autorizado para la primera.

Y cuando también observe un error de representación de imágenes descrito como “procesar un archivo creado con fines malintencionados puede provocar la ejecución de código arbitrario”, puedes ver rápidamente que:

• Una página web con una trampa explosiva podría contener una imagen que lanza código no confiable.
• Ese código no confiable podría implantar una aplicación de privilegios bajos.
• La aplicación no deseada podría adquirir poderes de raíz por sí mismo.
• La aplicación now-root podría inyectar su propio código malicioso en el kernel.

En otras palabras, al menos teóricamente, solo mirando un sitio web aparentemente inocente...

…podría hacer que caigas en una cascada de problemas, al igual que el famoso dicho que dice: “Por falta de un clavo, se perdió el zapato; por falta de una herradura, el caballo se perdió; por falta de un caballo, el mensaje se perdió; por falta de un mensaje, la batalla se perdió… todo por falta de un clavo de herradura.”

¿Qué hacer?

Es por eso que, como siempre, le recomendamos que parchee temprano; parche a menudo; parche todo.

Apple, para su crédito, hace que parchear todo sea lo predeterminado: no puede elegir qué parches implementar y cuáles dejar "para más adelante".

La única excepción a esta regla, como señalamos anteriormente, es que para macOS Big Sur y macOS Catalina, recibirá la mayor parte de las actualizaciones del sistema operativo en una descarga gigante, seguida de un proceso de descarga y actualización por separado para instalar el última versión de Safari.

Como siempre:

• En tu iPhone o iPad: Ajustes > General > actualización de software
• En tu Mac: Menú Apple > Acerca de esta Mac > Actualización de software…

---