El secreto de Apple está fuera: 3 días cero corregidos, ¡así que asegúrese de parchear ahora!

El secreto de Apple está fuera: 3 días cero corregidos, ¡así que asegúrese de parchear ahora!

Sello de tiempo: 18 de mayo de 2023 9:02 p.m.
Nodo de origen: 2662161
by Paul patito

Recuerde esa actualización rápida pero rápida que Apple expulsado hace tres semanas, el 2023-05-01?

Esa actualización fue la primera en la novedosa Apple Respuesta de seguridad rápida proceso, mediante el cual la empresa puede lanzar parches críticos para los componentes clave del sistema sin pasar por una actualización del sistema operativo de tamaño completo que lo lleva a un nuevo número de versión.

Como reflexionamos en el podcast de Naked Securirty esa semana:

Apple acaba de presentar "Respuestas de seguridad rápidas". Las personas informan que tardan unos segundos en descargarse y requieren un reinicio súper rápido. [Pero] en cuanto a tener los labios apretados [sobre la actualización], tienen los labios cerrados. Absolutamente ninguna información de qué se trataba. ¡Pero fue agradable y rápido!

bueno para algunos

Desafortunadamente, estas nuevas respuestas rápidas de seguridad solo estaban disponibles para la última versión de macOS (actualmente Ventura) y el último iOS/iPadOS (actualmente en la versión 16), lo que dejó a los usuarios de Mac e iDevices más antiguos, así como a los propietarios de Apple Watch. y Apple TV, en la oscuridad.

La descripción de Apple de los nuevos parches rápidos implicaba que normalmente se ocupaban de los errores de día cero que afectaban al software central, como el navegador Safari y WebKit, que es el motor de renderizado web que todo navegador está obligado a usar en iPhones y iPads.

Técnicamente, podría crear una aplicación de navegador para iPhone o iPad que usara el motor Chromium, como lo hacen Chrome y Edge, o el motor Gecko, como lo hacen los navegadores de Mozilla, pero Apple no lo dejaría entrar a la App Store si lo hiciera.

Y debido a que la App Store es la única fuente de aplicaciones para los dispositivos móviles de Apple, eso es todo: es la forma WebKit, o no.

La razón por la que los errores críticos de WebKit tienden a ser más peligrosos que los errores en muchas otras aplicaciones es que los navegadores intencionalmente dedican su tiempo a buscar contenido desde cualquier lugar y en todas partes en Internet.

Luego, los navegadores procesan estos archivos que no son de confianza, proporcionados de forma remota por los servidores web de otras personas, los convierten en contenido visible en el que se puede hacer clic y los muestran como páginas web con las que puede interactuar.

Espera que su navegador le advierta activamente y solicite permiso explícitamente antes de realizar acciones que se consideran potencialmente peligrosas, como activar su cámara web, leer archivos ya almacenados en su dispositivo o instalar un nuevo software.

Pero también espera que el contenido que no se considera directamente peligroso, como las imágenes que se muestran, los videos que se muestran, los archivos de audio que se reproducen, etc., se procesen y se le presenten automáticamente.

En pocas palabras, simplemente visitante una página web no debería ponerlo en riesgo de que le implanten malware en su dispositivo, le roben sus datos, le roben sus contraseñas, su vida digital esté sujeta a spyware o cualquier malversación de ese tipo.

A menos que haya un error

A menos, por supuesto, que haya un error en WebKit (o tal vez varios errores que se pueden combinar estratégicamente), de modo que simplemente al preparar un archivo de imagen, un video o una ventana emergente de JavaScript deliberadamente trampa explosiva, su navegador podría ser engañado para hacer algo. no debería

Si los ciberdelincuentes, los vendedores de spyware, los jailbreakers, los servicios de seguridad de un gobierno al que no le agradas, o incluso cualquier persona que esté en tu peor interés, descubre un error explotable de este tipo, es posible que puedan comprometer la seguridad cibernética. de todo su dispositivo...

… simplemente atrayéndolo a un sitio web de apariencia inocente que debería ser perfectamente seguro para visitar.

Bueno, Apple acaba de hacer un seguimiento de sus últimos parches Rapid Security Resonse con actualizaciones completas para todos sus productos compatibles, y entre los boletines de seguridad para esos parches, finalmente descubrimos cuáles eran esas respuestas rápidas. allí para arreglar.

Dos días cero:

  • CVE-2023-28204: WebKit. Se solucionó una lectura fuera de los límites con una validación de entrada mejorada. El procesamiento de contenido web puede revelar información confidencial. Apple está al tanto de un informe de que este problema puede haber sido explotado activamente.
  • CVE-2023-32373: WebKit. Se solucionó un problema de uso después de la liberación mejorando la administración de la memoria. El procesamiento de contenido web creado con fines malintencionados puede dar lugar a la ejecución de código arbitrario. Apple está al tanto de un informe de que este problema puede haber sido explotado activamente.

En términos generales, cuando dos días cero de este tipo aparecen al mismo tiempo en WebKit, es probable que los delincuentes los hayan combinado para crear un ataque de adquisición de dos pasos.

Los errores que corrompen la memoria al sobrescribir datos que no deben tocarse (por ejemplo, CVE-2023-32373) siempre son malos, pero los sistemas operativos modernos incluyen muchas protecciones de tiempo de ejecución que tienen como objetivo evitar que dichos errores se exploten para tomar el control del programa defectuoso.

Por ejemplo, si el sistema operativo elige aleatoriamente dónde terminan los programas y los datos en la memoria, los ciberdelincuentes a menudo no pueden hacer mucho más que bloquear el programa vulnerable, porque no pueden predecir cómo se distribuye en la memoria el código que están atacando. .

Pero con información precisa sobre qué está dónde, un exploit crudo y "crashtastic" a veces se puede convertir en un exploit "crash-and-keep-control": lo que se conoce con el nombre autodescriptivo de un ejecución remota de código agujero.

Por supuesto, los errores que permiten a los atacantes leer desde ubicaciones de memoria que no deberían (por ejemplo, CVE-2023-28204) no solo pueden conducir directamente a la fuga de datos y al robo de datos, sino que también pueden conducir indirectamente a "bloquear y mantener". control”, revelando secretos sobre el diseño de la memoria dentro de un programa y facilitando su control.

Curiosamente, hay un tercer parche de día cero en las últimas actualizaciones, pero aparentemente este no se solucionó en Rapid Security Response.

  • CVE-2023-32409: WebKit. El problema se solucionó con controles de límites mejorados. Un atacante remoto puede salir del entorno limitado de contenido web. Apple está al tanto de un informe de que este problema puede haber sido explotado activamente.

Como puede imaginar, la combinación de estos tres días cero sería el equivalente de un jonrón para un atacante: el primer error revela los secretos necesarios para explotar el segundo error de manera confiable, y el segundo error permite implantar código para explotar el tercero. …

…en ese momento, el atacante no solo se ha apoderado del “jardín amurallado” de su página web actual, sino que ha tomado el control de todo su navegador, o algo peor.

¿Qué hacer?

¡Asegúrate de estar parcheado! (Ir a Ajustes > General > Actualización de software.)

Incluso los dispositivos que ya recibieron una respuesta de seguridad rápida a principios de marzo de 2023 aún tienen un día cero para parchear.

Y todas las plataformas han recibido muchas otras correcciones de seguridad para errores que podrían explotarse para ataques tan variados como: pasar por alto las preferencias de privacidad; acceder a datos privados desde la pantalla de bloqueo; leer la información de su ubicación sin permiso; espiar el tráfico de red desde otras aplicaciones; y más.

Después de la actualización, debería ver los siguientes números de versión:

  • reloj OS: ahora en versión 9.5
  • tvOS: ahora en versión 16.5
  • iOS 15 y iPadOS 15: ahora en versión 15.7.6
  • iOS 16 y iPadOS 16: ahora en versión 16.5
  • macOS Gran Sur: ahora en 11.7.7
  • macOS Monterrey: ahora en 12.6.6
  • MacOS Ventura: ahora en 13.4

Nota importante: si tiene macOS Big Sur o macOS Monterey, esos importantes parches de WebKit no se incluyen con la actualización de la versión del sistema operativo, sino que se proporcionan en un paquete de actualización separado llamado Safari 16.5.

¡Que se diviertan!

Sello de tiempo:

Mas de Seguridad desnuda