Apple envió el lunes parches de seguridad fuera de banda para abordar dos vulnerabilidades de día cero en iOS 12.5.3 que, según dice, se están explotando activamente en la naturaleza.
La última actualización, iOS 12.5.4, viene con correcciones para tres errores de seguridad, incluido un problema de corrupción de memoria en el decodificador ASN.1 (CVE-2021-30737) y dos fallas relacionadas con su motor de navegador WebKit que podría abusarse para lograr código remoto ejecución-
- CVE-2021-30761 – Un problema de corrupción de la memoria que podría explotarse para obtener la ejecución de código arbitrario al procesar contenido web creado con fines malintencionados. La falla se solucionó mejorando la gestión del estado.
- CVE-2021-30762 – Un problema de uso posterior a la liberación que podría explotarse para obtener la ejecución de código arbitrario al procesar contenido web creado con fines malintencionados. La falla se resolvió con una mejor gestión de la memoria.
Tanto CVE-2021-30761 como CVE-2021-30762 se informaron a Apple de forma anónima, y la compañía con sede en Cupertino indicó en su aviso que está al tanto de los informes de que las vulnerabilidades «pueden haber sido explotadas activamente». Como suele ser el caso, Apple no compartió ningún detalle sobre la naturaleza de los ataques, las víctimas que pueden haber sido atacadas o los actores de amenazas que pueden estar abusando de ellos.
Sin embargo, una cosa evidente es que los intentos de explotación activa se dirigieron contra los propietarios de dispositivos más antiguos como iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 y iPod touch (6.ª generación). El movimiento refleja una solución similar que Apple implementó el 3 de mayo para remediar una vulnerabilidad de desbordamiento de búfer (CVE-2021-30666) en WebKit dirigido al mismo conjunto de dispositivos.
Junto con las dos fallas antes mencionadas, Apple ha reparado un total de 12 días cero que afectan a iOS, iPadOS, macOS, tvOS y watchOS desde principios de año:
- CVE-2021-1782 (Kernel): una aplicación malintencionada puede elevar los privilegios
- CVE-2021-1870 (WebKit): un atacante remoto puede provocar la ejecución de código arbitrario
- CVE-2021-1871 (WebKit): un atacante remoto puede provocar la ejecución de código arbitrario
- CVE-2021-1879 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede generar secuencias de comandos entre sitios universales
- CVE-2021-30657 (Preferencias del sistema): una aplicación malintencionada puede eludir las comprobaciones de Gatekeeper
- CVE-2021-30661 (Almacenamiento WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2021-30663 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2021-30665 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2021-30666 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2021-30713 (marco TCC): una aplicación maliciosa puede eludir las preferencias de privacidad
Se recomienda a los usuarios de dispositivos Apple que actualicen a las últimas versiones para mitigar el riesgo asociado con las vulnerabilidades.
