Apple parchea el doble día cero en el navegador y el kernel: ¡actualice ahora!

Apple acaba de lanzar una actualización de emergencia para dos errores de día cero que aparentemente son siendo explotado activamente.

Hay un agujero de ejecución remota de código (RCE) denominado CVE-20220-32893 en el software de renderizado HTML de Apple (WebKit), por medio del cual una página web trampa explosiva puede engañar a iPhones, iPads y Macs para que ejecuten código de software no autorizado y no confiable.

En pocas palabras, un ciberdelincuente podría implantar malware en su dispositivo incluso si todo lo que hizo fue ver una página web inocente.

Recuerde que WebKit es la parte del motor del navegador de Apple que se encuentra debajo de absolutamente todo el software de representación web en los dispositivos móviles de Apple.

Las Mac pueden ejecutar versiones de Chrome, Chromium, Edge, Firefox y otros navegadores "no Safari" con motores HTML y JavaScript alternativos (Chromium, por ejemplo, usa Blink y V8; Firefox se basa en Geco y Rinoceronte).

Pero en iOS y iPadOS, las reglas de la App Store de Apple insisten en que cualquier software que ofrezca algún tipo de funcionalidad de navegación web debe estar basado en WebKit, incluidos navegadores como Chrome, Firefox y Edge que no dependen del código de navegación de Apple en ninguna otra plataforma en la que pueda usarlos.

Además, cualquier aplicación Mac y iDevice con ventanas emergentes como Ayuda or Acerca las pantallas usan HTML como su "lenguaje de visualización", una conveniencia programática que es comprensiblemente popular entre los desarrolladores.

Es casi seguro que las aplicaciones que hacen esto usen Apple WebView funciones del sistema, y ​​WebView se basa directamente encima de WebKit, por lo que se ve afectado por cualquier vulnerabilidad en WebKit.

El CVE-2022-32893 Por lo tanto, la vulnerabilidad afecta potencialmente a muchas más aplicaciones y componentes del sistema que solo el propio navegador Safari de Apple, por lo que simplemente evitar Safari no puede considerarse una solución, incluso en Mac donde se permiten navegadores que no son WebKit.

Luego hay un segundo día cero

También hay un agujero de ejecución de código del kernel denominado CVE-2022-32894, por el cual un atacante que ya ha ganado un punto de apoyo básico en su dispositivo Apple al explotar el error WebKit mencionado anteriormente...

…podría pasar de controlar una sola aplicación en su dispositivo a hacerse cargo del propio kernel del sistema operativo, adquiriendo así el tipo de “superpoderes administrativos” normalmente reservados para Apple.

Es casi seguro que esto significa que el atacante podría:

• Espiar todas y cada una de las aplicaciones que se están ejecutando actualmente
• Descargue e inicie aplicaciones adicionales sin pasar por la App Store
• Acceda a casi todos los datos en el dispositivo
• Cambiar la configuración de seguridad del sistema
• Recupera tu ubicación
• Toma capturas de pantalla
• Usar las cámaras del dispositivo
• Activar el micrófono
• Copiar mensajes de texto
• Seguimiento de su navegación...

…y mucho más.

Apple no ha dicho cómo se encontraron estos errores (aparte de dar crédito “un investigador anónimo”), no ha dicho en qué lugar del mundo han sido explotados, y no ha dicho quién los está usando o con qué propósito.

Sin embargo, en términos generales, un WebKit RCE en funcionamiento seguido de un kernel en funcionamiento, como se ve aquí, generalmente proporciona toda la funcionalidad necesaria para montar un dispositivo jailbreak (por lo tanto, eludiendo deliberadamente casi todas las restricciones de seguridad impuestas por Apple), o para instalar software espía de fondo y mantenerte bajo vigilancia integral.

¿Qué hacer?

Parche de una vez!

En el momento de escribir este artículo, Apple ha publicado avisos para iPadOS 15 y iOS 15, que obtienen números de versión actualizados de 15.6.1, Y para macOS Monterrey 12, que obtiene un número de versión actualizado de 12.5.2.

• En tu iPhone o iPad: Ajustes > General > actualización de software
• En tu Mac: Menú Apple > Acerca de esta Mac > Actualización de software…

También hay una actualización que toma RELOJ a la versión 8.7.1, pero esa actualización no incluye ningún número CVE y no tiene un aviso de seguridad propio.

No se sabe si las versiones anteriores compatibles de macOS (Big Sur y Catalina) están afectadas pero aún no tienen actualizaciones disponibles, o si tvOS es vulnerable pero aún no está parcheado.

Para obtener más información, mire este espacio y esté atento a la página del portal oficial del Boletín de seguridad de Apple, HT201222.