Apple lanzó el jueves actualizaciones de seguridad de emergencia para iOS, iPadOS, macOS y watchOS para abordar dos fallas de día cero que han sido explotadas en la naturaleza para entregar el software espía mercenario Pegasus de NSO Group.
Los problemas se describen a continuación:
- CVE-2023-41061 : un problema de validación en Wallet que podría provocar la ejecución de código arbitrario al manejar un archivo adjunto creado con fines malintencionados.
- CVE-2023-41064 : un problema de desbordamiento del búfer en el componente de E/S de imagen que podría provocar la ejecución de código arbitrario al procesar una imagen creada con fines malintencionados.
Mientras que CVE-2023-41064 fue encontrado por el Citizen Lab de la Escuela Munk de la Universidad de Toronto, CVE-2023-41061 fue descubierto internamente por Apple, con «asistencia» del Citizen Lab
Las actualizaciones están disponibles para los siguientes dispositivos y sistemas operativos:
- iOS 16.6.1 y iPadOS 16.6.1 : iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores
- macOS Ventura 13.5.2 : dispositivos macOS que ejecutan macOS Ventura
- watchOS 9.6.2 – Apple Watch Series 4 y posteriores
En una alerta separada, Citizen Lab reveló que las fallas gemelas se han convertido en armas como parte de una cadena de exploits de iMessage sin hacer clic llamada BLASTPASS para implementar Pegasus en iPhones completamente parcheados con iOS 16.6.
Nagios es un poderoso sistema de monitoreo de infraestructuras TI que permite a las organizaciones identificar y resolver problemas antes de que afecten los procesos comerciales críticos.
Conocer..
«La cadena de exploits era capaz de comprometer iPhones que ejecutaban la última versión de iOS (16.6) sin ninguna interacción por parte de la víctima», dijo el laboratorio interdisciplinario . «El exploit involucraba archivos adjuntos PassKit que contenían imágenes maliciosas enviadas desde una cuenta de iMessage del atacante a la víctima».
Se han ocultado detalles técnicos adicionales sobre las deficiencias a la luz de la explotación activa. Dicho esto, se dice que el exploit evita el marco de pruebas BlastDoor creado por Apple para mitigar los ataques sin clic.
«Este último hallazgo muestra una vez más que la sociedad civil es blanco de exploits altamente sofisticados y software espía mercenario», dijo Citizen Lab, añadiendo que los problemas se encontraron la semana pasada al examinar el dispositivo de un individuo no identificado empleado por una organización de la sociedad civil con sede en Washington DC. con oficinas internacionales.
Cupertino hasta ahora ha solucionado un total de 13 errores de día cero en su software desde principios de año. Las últimas actualizaciones también llegan más de un mes después de que la compañía enviara correcciones para una falla del kernel explotada activamente (CVE-2023-38606).
La noticia de los días cero llega cuando se cree que el gobierno chino ordenó una prohibición que prohíbe a los funcionarios del gobierno central y estatal usar iPhones y otros dispositivos de marcas extranjeras para trabajar en un intento por reducir la dependencia de la tecnología extranjera y en medio de una escalada de la crisis china. Guerra comercial de Estados Unidos.
«La verdadera razón de la prohibición es ciberseguridad», dijo Zuk Avraham, investigador de seguridad y fundador de Zimperium, en una publicación en X (anteriormente Twitter). «Los iPhone tienen la imagen de ser el teléfono más seguro… pero en realidad, los iPhone no son nada seguros contra el simple espionaje.»
«¿No me creen? Basta con mirar el número de empresas comerciales de 0 clics como NSO a lo largo de los años para comprender que no hay casi nada que un individuo, una organización o un gobierno pueda hacer para protegerse contra el ciberespionaje a través de iPhones.»
Fuente: thehackernews
