Apple lanzó actualizaciones de seguridad de emergencia para corregir una nueva falla de seguridad de día cero explotada en ataques dirigidos a usuarios de iPhone y iPad.

“Apple está al tanto de un informe de que este problema puede haber sido explotado activamente en versiones de iOS anteriores a iOS 16.6”, dijo la compañía en un aviso emitido el miércoles.

El día cero (CVE-2023-42824) es causado por una debilidad descubierta en el kernel XNU que permite a atacantes locales escalar privilegios en iPhones y iPads sin parches.

Si bien Apple dijo que abordó el problema de seguridad en iOS 17.0.3 y iPadOS 17.0.3 con comprobaciones mejoradas, aún no ha revelado quién encontró e informó la falla.

La lista de dispositivos afectados es bastante extensa e incluye:

iPhone XS y posterior
iPad Pro de 12,9 pulgadas de segunda generación y posteriores, iPad Pro de 10,5 pulgadas, iPad Pro de 11 pulgadas de primera generación y posteriores, iPad Air de tercera generación y posteriores, iPad de sexta generación y posteriores y iPad mini de quinta generación y posteriores

Apple también abordó un día cero rastreado como CVE-2023-5217 y causado por una debilidad de desbordamiento del búfer en la codificación VP8 de la biblioteca de códecs de video de código abierto libvpx, que podría permitir la ejecución de código arbitrario luego de una explotación exitosa.

El error libvpx fue parcheado previamente por Google en el navegador web Chrome y por Microsoft en sus productos Edge, Teams y Skype.

CVE-2023-5217 fue descubierto por el investigador de seguridad Clément Lecigne, que forma parte del Grupo de análisis de amenazas (TAG) de Google, un equipo de expertos en seguridad conocido por encontrar a menudo abusos de días cero en ataques de software espía dirigidos respaldados por el gobierno y dirigidos a personas de alto riesgo.

CVE-2023-42824 es la decimoséptima vulnerabilidad de día cero explotada en ataques que Apple ha solucionado desde principios de año.

Info – Ciberseguridad Latam