Apple lanza silenciosamente otro parche para el error RCE de día cero

Apple ha lanzado silenciosamente más actualizaciones de iOS para corregir una vulnerabilidad de seguridad de día cero que se explota activamente y que corrigió a principios de este mes en los dispositivos más nuevos. La vulnerabilidad, encontrada en WebKit, puede permitir a los atacantes crear contenido web malicioso que permite la ejecución remota de código (RCE) en el dispositivo de un usuario.

Una actualización lanzado el miércoles, iOS 12.5.6, se aplica a los siguientes modelos: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 y iPod touch 6.ª generación.

El defecto en cuestión (CVE-2022-32893) es descrito por Apple como un problema de escritura fuera de límites en WebKit. Se solucionó en el parche con una verificación de límites mejorada. Apple reconoció que el error está bajo explotación activa e insta a los usuarios de los dispositivos afectados a actualizarlo de inmediato.

Apple ya había parcheado la vulnerabilidad para algunos dispositivos, junto con una falla del kernel rastreada como CVE-2022-32894. a principios de agosto en iOS 15.6.1. Ese es una actualización que cubría iPhone 6S y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación).

La última ronda de parches parece ser que Apple cubre todas sus bases al agregar protección para iPhones que ejecutan versiones anteriores de iOS, señaló el evangelista de seguridad Paul Ducklin.

“Suponemos que Apple debe haberse encontrado con al menos algunos usuarios de teléfonos antiguos de alto perfil (o de alto riesgo, o ambos) que se vieron comprometidos de esta manera, y decidió impulsar la protección para todos como precaución especial. " el escribio en una publicación en el blog Sophos Naked Security.

La doble cobertura de Apple para corregir el error en ambas versiones de iOS se debe al cambio en qué versiones de la plataforma se ejecutan en qué iPhone, explicó Ducklin.

Antes de que Apple lanzara iOS 13.1 y iPadOS 13.1, los iPhone y los iPad usaban el mismo sistema operativo, denominado iOS para ambos dispositivos, dijo. Ahora, iOS 12.x cubre iPhone 6 y dispositivos anteriores, mientras que iOS 13.1 y versiones posteriores se ejecutan en iPhone 6s y dispositivos posteriores.

La otra falla de día cero que Apple solucionó a principios de este mes, CVE-2022-32894, fue una vulnerabilidad del kernel que puede permitir la toma de control de todo el dispositivo. Pero si bien iOS 13 se vio afectado por esa falla (y por lo tanto recibió un parche en la actualización anterior), no afecta a iOS 12, observó Ducklin, "lo que casi con certeza evita el riesgo de un compromiso total del sistema operativo en sí" en dispositivos más antiguos. dispositivos.

WebKit: una amplia superficie de ciberataque

WebKit es el motor de navegador que alimenta Safari y todos los demás navegadores de terceros que funcionan en iOS. Al explotar CVE-2022-32893, un actor de amenazas puede crear contenido malicioso en un sitio web. Luego, si alguien visita el sitio desde un iPhone afectado, el actor puede ejecutar malware de forma remota en su dispositivo.

WebKit en general ha sido una espina persistente en el costado de Apple cuando se trata de exponer a los usuarios a vulnerabilidades porque se propaga más allá de los iPhone y otros dispositivos Apple a otros navegadores que lo usan, incluidos Firefox, Edge y Chrome, poniendo potencialmente a millones de usuarios en riesgo. un error determinado.

“Recuerde que los errores de WebKit existen, en términos generales, en la capa de software debajo de Safari, por lo que el propio navegador Safari de Apple no es la única aplicación en riesgo por esta vulnerabilidad”, observó Ducklin.

Además, cualquier aplicación que muestre contenido web en iOS para fines distintos a la navegación general (como en sus páginas de ayuda, su "Acerca de" pantalla, o incluso en un "mininavegador" incorporado, usa WebKit bajo el capó, agregó.

“En otras palabras, simplemente 'evitar Safari' y apegarse a un navegador de terceros no es una solución adecuada [para los errores de WebKit]”, escribió Ducklin.

Apple bajo ataque

Si bien tanto los usuarios como los profesionales tradicionalmente han considerado que las plataformas Mac e iOS de Apple son más seguras que Microsoft Windows, y esto generalmente ha sido cierto por varias razones, la marea está comenzando a cambiar, dicen los expertos.

De hecho, un panorama de amenazas emergente que muestra más interés en apuntar a tecnologías web más ubicuas y no al sistema operativo en sí. ha ampliado el objetivo en la espalda de Apple, según un informe de amenaza lanzado en enero, y la estrategia de parcheo defensivo de la compañía refleja esto.

Apple ha reparado al menos cuatro fallas de día cero este año, con dos parches para vulnerabilidades anteriores de iOS y macOS. Enero y uno de cada Febrero – el último de los cuales solucionó otro problema explotado activamente en WebKit.

Además, el año pasado, 12 de 57 amenazas de día cero que los investigadores del Proyecto Cero de Google seguimiento estaban relacionados con Apple (es decir, más del 20 %), con problemas que afectaban a macOS, iOS, iPadOS y WebKit.