Apple lanzó el jueves actualizaciones de seguridad de emergencia para iOS, iPadOS, macOS y watchOS para abordar dos fallas de día cero que han sido explotadas en la naturaleza para entregar el software espía mercenario Pegasus de NSO Group.
Los problemas se describen a continuación:
- CVE-2023-41061 – Un problema de validación en Wallet que podría resultar en la ejecución de código arbitrario al manejar un archivo adjunto creado con fines malintencionados.
- CVE-2023-41064 – Un problema de desbordamiento del buffer en el Componente de E/S de imagen eso podría resultar en la ejecución de código arbitrario al procesar una imagen creada con fines malintencionados.
Mientras que CVE-2023-41064 fue encontrado por el Citizen Lab de la Escuela Munk de la Universidad de Toronto, CVE-2023-41061 fue descubierto internamente por Apple, con «asistencia» del Citizen Lab.
Las actualizaciones están disponibles para los siguientes dispositivos y sistemas operativos:
En una alerta separada, Citizen Lab reveló que las fallas gemelas se han convertido en armas como parte de una cadena de exploits de iMessage sin hacer clic llamada BLASTPASS para implementar Pegasus en iPhones completamente parcheados con iOS 16.6.
«La cadena de exploits era capaz de comprometer iPhones con la última versión de iOS (16.6) sin ninguna interacción por parte de la víctima», el laboratorio interdisciplinario dicho. «El exploit involucraba archivos adjuntos PassKit que contenían imágenes maliciosas enviadas desde una cuenta de iMessage del atacante a la víctima».
Se han ocultado detalles técnicos adicionales sobre las deficiencias a la luz de la explotación activa. Dicho esto, se dice que el exploit evita el marco de pruebas BlastDoor creado por Apple para mitigar los ataques sin clic.
«Este último hallazgo muestra una vez más que la sociedad civil es blanco de exploits altamente sofisticados y software espía mercenario», dijo Citizen Lab, añadiendo que los problemas se encontraron la semana pasada al examinar el dispositivo de un individuo no identificado empleado por una organización de la sociedad civil con sede en Washington DC. con oficinas internacionales.
Demasiado vulnerable: descubrir el estado de la superficie de ataque a la identidad
¿Consiguió el MFA? ¿PAM? ¿Protección de la cuenta de servicio? Descubra qué tan bien equipada está realmente su organización contra las amenazas a la identidad
Cupertino hasta ahora ha solucionado un total de 13 errores de día cero en su software desde principios de año. Las últimas actualizaciones también llegan más de un mes después de que la compañía enviara correcciones para una falla del kernel explotada activamente (CVE-2023-38606).
La noticia de los días cero llega cuando se cree que el gobierno chino ha ordenado a prohibición prohibir a los funcionarios del gobierno central y estatal el uso de iPhones y otros dispositivos de marcas extranjeras para trabajar en un intento por reducir la dependencia de la tecnología extranjera y en medio de una escalada de la guerra comercial entre China y Estados Unidos.
«La verdadera razón [for the ban] es: ciberseguridad (sorpresa sorpresa)», Zuk Avraham, investigador de seguridad y fundador de Zimperium, dicho en una publicación en X (anteriormente Twitter). «Los iPhone tienen la imagen de ser el teléfono más seguro… pero en realidad, los iPhone no son nada seguros contra el simple espionaje.»
«¿No me creen? Basta con mirar el número de empresas comerciales de 0 clics como NSO a lo largo de los años para comprender que no hay casi nada que un individuo, una organización o un gobierno pueda hacer para protegerse contra el ciberespionaje a través de iPhones. «.