Apple ha publicado una nueva ronda de actualizaciones de seguridad para abordar su octava vulnerabilidad, categorizada como ZERO-DAY, utilizada en ataques contra dispositivos de iPhones y Mac desde principios de año.

•  Apple publica actualizaciones de iOS y macOS para parchear la falla de día cero explotada activamente

El aviso sobre las actualizaciones ha sido emitido este día lunes, en el portal de soporte de la compañía. Apple reveló que están al tanto de los informes que dicen que esta falla de seguridad puede haber sido explotada activamente por diferentes actores de amenazas.

• https://support.apple.com/en-us/HT201222

Actualizaciones de iOS y macOS

La primera vulnerabilidad (ZERO-DAY) a sido rastreadas como CVE-2022-32917, y puede permitir que las aplicaciones creadas con fines malintencionados, el poder de ejecutar código arbitrario con privilegios en el Kernel. La vulnerabilidad a sido reportada, gracias al apoyo de un investigador anónimo, y fue abordado en dispositivos iOS 15.7 y iPadOS 15.7, macOS Monterey 12.6 y macOS Big Sur 11.7

La segunda vulnerabilidad ha sido rastreada como CVE-2022-32894, para dispositivos de Mac con macOS Big Sur 11.7, después de lanzar actualizaciones de seguridad adicionales el 31 de agosto para abordar el mismo error en las versiones de iOS que se ejecutan en iPhones y iPads más antiguos.

Aunque Apple reveló la explotación activa de esta vulnerabilidad (CVE-2022-32917), la compañía aún no ha compartió detalles técnicos o indicadores de compromiso (IoC) para ayudar a los investigadores en la búsqueda de posibles dispositivos comprometidos.

Al negarse a publicar esta información, es probable que Apple quiera permitir que tanto clientes, como sea posible, parcheen sus dispositivos antes de que otros atacantes desarrollen sus propios exploits y comiencen a implementarlos en ataques dirigidos a los dispositivos de iPhones y Mac vulnerables.

• CVE-2022-22587 (IOMobileFrameBuffer
• CVE-2022-22594 (WebKit Storage)
• CVE-2022-22620 (WebKit)
• CVE-2022-22674 (Intel Graphics Driver
• CVE-2022-22675 (AppleAVD)
• CVE-2022-32893 (WebKit)
• CVE-2022-32894 (Kernel) 

 
El problema, al que se le asignó el identificador CVE-2022-32917, tiene sus raíces en el componente Kernel y podría permitir que una aplicación maliciosa ejecute código arbitrario con privilegios de kernel.

"Apple está al tanto de un informe de que este problema puede haber sido explotado activamente", reconoció el fabricante del iPhone en una breve declaración, y agregó que resolvió el error con controles de enlace mejorados.

A un investigador anónimo se le atribuye haber informado sobre la deficiencia. Vale la pena señalar que CVE-2022-32917 también es la segunda falla de día cero relacionada con Kernel que Apple ha remediado en menos de un mes.
La seguridad cibernética

Los parches están disponibles en las versiones iOS 15.7, iPadOS 15.7, iOS 16, macOS Big Sur 11.7 y macOS Monterey 12.6. Las actualizaciones de iOS y iPadOS cubren iPhone 6s y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación).


iOS presenta además una función llamada Respuesta de seguridad rápida que hace posible que los usuarios instalen automáticamente correcciones de seguridad en dispositivos iOS sin una actualización completa del sistema operativo.

“Las respuestas rápidas de seguridad brindan importantes mejoras de seguridad más rápidamente, antes de que se conviertan en parte de otras mejoras en una futura actualización de software”, dijo Apple en un documento de soporte revisado publicado el lunes.

Apple corrige agujeros de día cero, incluso en el nuevo iOS 16

Por último, iOS 16 también brinda soporte para claves de acceso en el navegador web Safari, un mecanismo de inicio de sesión sin contraseña que permite a los usuarios iniciar sesión en sitios web y servicios mediante la autenticación a través de Touch ID o Face ID.

Resumen Actualizaciones Apple

Las actualizaciones anunciadas en esta ronda de boletines son las siguientes.

• APPLE-SA-2022-09-12-5: Safari 16. Esta actualización se aplica a macOS Big Sur (versión 11) y Monterey (versión 12). No aparece ninguna actualización de Safari para macOS 10 (Catalina). Dos de los errores corregidos podrían conducir a la ejecución remota de código, lo que significa que un sitio web con trampa podría implantar malware en tu ordenador (que posteriormente podría abusar de CVE-2022-32917 para tomar el control a nivel del kernel), aunque ninguno de estos errores están listados como de día cero. (Véase HT213442).
• APPLE-SA-2022-09-12-4: macOS Monterey 12.6. Esta actualización puede considerarse urgente, dado que incluye una corrección de CVE-2022-32917. (Véase HT213444).
• APPLE-SA-2022-09-12-3: macOS Big Sur 11.7. Un tramo de parches similar a los mencionados anteriormente para macOS Monterey, que incluye el día cero CVE-2022-32917. Esta actualización de Big Sur también parchea CVE-2022-32894, el segundo día cero del kernel descrito anteriormente. (Véase HT213443).
• APPLE-SA-2022-09-12-2: iOS 15.7 y iPadOS 15.7. Como se indicó al principio del artículo, estas actualizaciones parchean CVE-2022-32917. (Véase HT213445).
• APPLE-SA-2022-09-12-1: iOS 16 ¡La grande! Además de un montón de nuevas características, incluye los parches de Safari entregados por separado para macOS (véase la parte superior de esta lista), y una solución para CVE-2022-32917. Curiosamente, el boletín de actualización de iOS 16 avisa de que “pronto se añadirán entradas adicionales de CVE”, pero no indica que CVE-2022-23917 sea un día cero. No sabemos si esto se debe a que iOS 16 aún no se considera oficialmente “in the wild” o a que el exploit conocido aún no funciona en una Beta de iOS 16 sin parchear. Pero parece que el fallo se ha trasladado de iOS 15 a la base de código de iOS 16. (Ver HT213446).

Fuentes:

https://www.cronup.com/apple-mitiga-su-octavo-zero-day-para-vulnerar-dispositivos-de-iphone-y-mac-en-2022/

https://thehackernews.com/2022/09/apple-releases-ios-and-macos-updates-to.html

https://news.sophos.com/es-es/2022/09/13/apple-corrige-agujeros-de-dia-cero-incluso-en-el-nuevo-ios-16/