Apple ha lanzado una serie de actualizaciones de seguridad para sus sistemas operativos móviles (OS) iOS 16.1 y iPadOS 16, dirigidas a 20 vulnerabilidades recién descubiertas, incluida una de día cero explotada activamente.
Rastreada como CVE-2022-42827 y acreditada a un investigador anónimo, la vulnerabilidad afecta al iPhone 8 y posteriores, a todos los modelos de iPad Pro, iPad Air 3.rd generación y posterior, iPad 5el generación y posteriores, y iPad Mini 5el generación y posteriores.
Es un problema de escritura fuera de los límites por el cual una aplicación puede ejecutar código arbitrario con privilegios de kernel.
Las vulnerabilidades que afectan a los núcleos de los dispositivos son particularmente peligrosas debido a lo esencial que es el núcleo para el funcionamiento de cualquier sistema operativo de computadora; esencialmente, es la capa que se encuentra entre el propio sistema operativo y el hardware subyacente, donde proporciona una interfaz para que los usuarios y las aplicaciones interactúen con el dispositivo, inicia y administra aplicaciones y administra el hardware del sistema.
Como tal, si un actor malintencionado descubre que puede acceder al kernel, prácticamente puede tomar el control total del dispositivo de destino. Por lo tanto, la actualización debe ser priorizada por las organizaciones que gestionan patrimonios sustanciales de Apple.
Mientras tanto, los usuarios consumidores pueden verificar su estado de actualización yendo a Configuración – General – Actualización de software en un iPhone o iPad, teniendo en cuenta que sus dispositivos pueden configurarse para recibir dichas actualizaciones automáticamente.
Apple no dio a conocer más detalles sobre cómo se está explotando el error, ni proporcionó ningún indicador de compromiso (IoC), que es una práctica estándar en Cupertino.
Estos problemas han afectado a Apple en los últimos tiempos, y la empresa ha reparado muchas otras vulnerabilidades que afectan a los núcleos de los dispositivos en lo que va del año.
Los otros problemas solucionados en el último aviso de seguridad barebones de Apple son:
- CVE-2022-42835 en AppleMobileFileIntegrity;
- CVE-2022-32940 en AVEVideoEncoder;
- CVE-2022-42813 en CFNetwork;
- CVE-2022-32946 en Núcleo Bluetooth;
- CVE-2022-32947 en Controladores GPU;
- CVE-2022-42820 en IOHIDFamily;
- CVE-2022-42806 en IOKit;
- CVE-2022-32924 y CVE-2022-42808 en núcleos de dispositivos;
- CVE-2022-42829, CVE-2022-42830, CVE-2022-42831 y CVE-2022-42832 en ppp;
- CVE-2022-42811 en Sandbox;
- CVE-2022-32938 en Accesos directos;
- CVE-2022-42799, CVE-2022-42828 y CVE-2022-42824 en WebKit;
- Y CVE-2022-32922 en WebKit PDF.
Muchas de estas vulnerabilidades también podrían conducir a la ejecución de código arbitrario en el dispositivo de la víctima, lo que en términos simples generalmente significa que un actor de amenazas puede ejecutar cualquier comando que elija en el sistema comprometido.
Por ejemplo, podrían activar un código ya presente o, más generalmente, cargar su propio código, es decir, malware, en el dispositivo y ejecutarlo, con todos los problemas posteriores, como la exfiltración de datos y la extorsión de rescate, que eso conlleva.