Urgente: Apple emite actualizaciones críticas para vulnerabilidades de día cero activamente explotadas.

Luis Quiles

marzo 6, 2024

Vulnerability

Apple ha lanzado actualizaciones de seguridad para abordar varias vulnerabilidades de seguridad, incluidas dos vulnerabilidades que, según dijo, han sido activamente explotadas en la naturaleza.

Las deficiencias se enumeran a continuación:

CVE-2024-23225 - Un problema de corrupción de memoria en el Kernel que un atacante con capacidad arbitraria de lectura y escritura del kernel puede explotar para evadir las protecciones de memoria del kernel.
CVE-2024-23296 - Un problema de corrupción de memoria en el sistema operativo en tiempo real (RTOS) RTKit que un atacante con capacidad arbitraria de lectura y escritura del kernel puede explotar para evadir las protecciones de memoria del kernel.

Actualmente no está claro cómo se están utilizando las vulnerabilidades en la naturaleza. Apple dijo que ambas vulnerabilidades se abordaron con una validación mejorada en iOS 17.4, iPadOS 17.4, iOS 16.7.6 y iPadOS 16.7.6.

Las actualizaciones están disponibles para los siguientes dispositivos:

iOS 16.7.6 y iPadOS 16.7.6: iPhone 8, iPhone 8 Plus, iPhone X, iPad de 5ª generación, iPad Pro de 9.7 pulgadas y iPad Pro de 12.9 pulgadas de 1ª generación.
iOS 17.4 y iPadOS 17.4: iPhone XS y modelos posteriores, iPad Pro de 12.9 pulgadas de 2ª generación y modelos posteriores, iPad Pro de 10.5 pulgadas, iPad Pro de 11 pulgadas de 1ª generación y modelos posteriores, iPad Air de 3ª generación y modelos posteriores, iPad de 6ª generación y modelos posteriores, y iPad mini de 5ª generación y modelos posteriores.

Con el último desarrollo, Apple ha abordado un total de tres vulnerabilidades de día cero activamente explotadas en su software desde el comienzo del año. A finales de enero de 2024, solucionó una falla de confusión de tipos en WebKit (CVE-2024-23222) que afectaba a iOS, iPadOS, macOS, tvOS y el navegador web Safari, lo que podría resultar en la ejecución de código arbitrario.

Este desarrollo se produce cuando la Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos (CISA) agregó dos fallas a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), instando a las agencias federales a aplicar las actualizaciones necesarias antes del 26 de marzo de 2024.

Las vulnerabilidades afectan una falla de divulgación de información que afecta a los dispositivos Android Pixel (CVE-2023-21237) y una falla de inyección de comandos en el sistema operativo en Sunhillo SureLine que podría resultar en la ejecución de código con privilegios de root (CVE-2021-36380).

Google, en un aviso publicado en junio de 2023, reconoció que encontró indicios de que «CVE-2023-21237 podría estar siendo explotada de manera limitada y dirigida». En cuanto a CVE-2021-36380, Fortinet reveló a finales del año pasado que una botnet Mirai llamada IZ1H9 estaba aprovechando la falla para agrupar dispositivos susceptibles en una botnet de DDoS.

Tags :

dia cero, hack, vulnerabilidad

Share this article :