Apple corrige agujeros de día cero, incluso en el nuevo iOS 16

Hemos estado esperando iOS 16, dado el reciente evento de Apple en el que se lanzaron al público el iPhone 14 y otros productos de hardware actualizados.

Esta mañana hicimos un Ajustes > General > actualización de software, por si acaso…

… pero no apareció nada.

Pero poco antes de las 8 p.m. de esta noche, hora del Reino Unido [2022-09-12T18:31Z], una serie de notificaciones de actualización cayeron en nuestra bandeja de entrada, anunciando una curiosa combinación de productos Apple nuevos y actualizados.

Incluso antes de leer los boletines, intentamos Ajustes > General > actualización de software de nuevo, y esta vez nos ofrecieron una actualización a iOS 15.7, con una actualización alternativa que nos llevaría directamente a iOS 16:

¡Una actualización y una mejora disponibles al mismo tiempo!

(Fuimos a la actualización a iOS 16: la descarga fue de poco menos de 3 GB, pero una vez descargada, el proceso fue más rápido de lo que esperábamos, y hasta ahora todo parece estar funcionando bien).

Asegúrese de actualizar incluso si no actualiza

Para que quede claro, si no quieres actualizar a iOS 16 todavía, aún necesita actualización, Debido a que el iOS 15.7 y iPadOS 15.7 las actualizaciones incluyen numerosos parches de seguridad, incluida una solución para un error denominado CVE-2022-32917.

El error, cuyo descubrimiento se atribuye simplemente a “un investigador anónimo”, se describe de la siguiente manera:

[Error corregido en:] Kernel Disponible para: iPhone 6s y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación) Impacto: un la aplicación puede ejecutar código arbitrario con privilegios de kernel. Apple está al tanto de un informe de que este problema puede haber sido explotado activamente. Descripción: el problema se solucionó mejorando las comprobaciones de límites.

Como señalamos cuando Apple lanzó la última parches de emergencia de día cero salió, un error de ejecución del código del kernel significa que incluso las aplicaciones de aspecto inocente (quizás incluidas las aplicaciones que llegaron a la App Store porque no generaron señales de alerta obvias cuando se examinaron) podrían liberarse del bloqueo de seguridad de aplicación por aplicación de Apple...

…y potencialmente apoderarse de todo el dispositivo, incluido el derecho a realizar operaciones del sistema, como usar la cámara o las cámaras, activar el micrófono, adquirir datos de ubicación, tomar capturas de pantalla, husmear en el tráfico de la red antes de que se cifre (o después de que se haya descifrado ), acceder a archivos pertenecientes a otras aplicaciones y mucho más.

Si, en efecto, este “asunto” (o agujero de seguridad como prefiera llamarlo) ha sido explotado activamente en la naturaleza, es razonable inferir que existen aplicaciones que los usuarios desprevenidos ya han instalado, de lo que pensaron que era una fuente confiable, a pesar de que esas aplicaciones contenían código para activar y abusar de esta vulnerabilidad.

Curiosamente, macOS 11 (Big Sur) obtiene su propia actualización para macOS 11.7, que parchea un segundo agujero de día cero denominado CVE-2022-32894, descrito exactamente con las mismas palabras que el boletín de día cero de iOS citado anteriormente.

Sin embargo, CVE-2022-32894 aparece solo como un error de Big Sur, con las versiones más recientes del sistema operativo macOS 12 (Monterey), iOS 15, iPadOS 15 e iOS 16 aparentemente no afectadas.

Recuerde que un agujero de seguridad que solo se solucionó después de que los chicos malos ya habían descubierto cómo explotarlo se conoce como un día cero porque no hubo días durante los cuales incluso el usuario más entusiasta o el administrador de sistemas podrían haberlo parcheado de manera proactiva.

La historia completa

Las actualizaciones anunciadas en esta ronda de boletines incluyen lo siguiente.

Los enumeramos a continuación en el orden en que llegaron por correo electrónico (orden numérico inverso) para que iOS 16 aparezca en la parte inferior:

• MANZANA-SA-2022-09-12-5: Safari 16. Esta actualización se aplica a macOS Big Sur (versión 11) y Monterey (versión 12). No se incluye ninguna actualización de Safari para macOS 10 (Catalina). Dos de los errores corregidos podrían conducir a la ejecución remota de código, lo que significa que un sitio web con trampas explosivas podría implantar malware en su computadora (que posteriormente podría abusar de CVE-2022-32917 para asumir el control a nivel del kernel), aunque ninguno de estos errores se enumeran como días cero. (Ver HT213442.)
• MANZANA-SA-2022-09-12-4: macOS Monterrey 12.6 Esta actualización puede considerarse urgente, dado que incluye una solución para CVE-2022-32917. (Ver HT213444.)
• MANZANA-SA-2022-09-12-3: macOS BigSur 11.7 Un tramo de parches similar a los enumerados anteriormente para macOS Monterey, incluido el día cero CVE-2022-32917. Esta actualización de Big Sur también parchea CVE-2022-32894, el segundo kernel de día cero descrito anteriormente. (Ver HT213443.)
• MANZANA-SA-2022-09-12-2: iOS 15.7 y iPadOS 15.7 Como se indicó al comienzo del artículo, estas actualizaciones parchean CVE-2022-32917. (Ver HT213445.)
• MANZANA-SA-2022-09-12-1: iOS 16 ¡El Grande! Además de un montón de funciones nuevas, esto incluye los parches de Safari que se entregan por separado para macOS (consulte la parte superior de esta lista) y una corrección para CVE-2022-32917. Curiosamente, el boletín de actualización de iOS 16 informa que “[a]s entradas adicionales de CVE [se] agregarán pronto”, pero no indica CVE-2022-23917 como un día cero. Ya sea porque iOS 16 aún no se consideraba oficialmente "en la naturaleza", o porque el exploit conocido aún no funciona en un iOS 16 Beta sin parches, no podemos decírtelo. Pero el error parece haberse trasladado desde iOS 15 al código base de iOS 16. (Ver HT213446.)

¿Qué hacer?

Como siempre, Parche temprano, parche a menudo.

Una actualización completa de iOS 15 a iOS 16.0, como se informa después de la instalación, corregirá los errores conocidos en iOS 15. (Todavía no hemos visto un anuncio para iPadOS 16).

Si aún no está listo para la actualización, asegúrese de actualizar a iOS 15.7, debido al agujero del kernel de día cero.

En iPads, para los que aún no se menciona iOS 16, tome iPadOS 15.7 ahora mismo, no se quede esperando a que salga iPadOS 16, dado que se expondría innecesariamente a una falla del kernel conocida y explotable.

En Mac, Monterey y Big Sur obtienen una actualización doble, una para parchear Safari, que se convierte en Safari 16, y otra para el propio sistema operativo, que te llevará a macOS 11.7 (Gran Sur) o macOS 12.6 (Monterrey).

No hay parche para iOS 12 esta vez, y no se menciona macOS 10 (Catalina); si Catalina ya no es compatible o simplemente es demasiado antigua para incluir alguno de estos errores, no podemos decírtelo.

¡Mire este espacio para cualquier actualización de CVE!

---