Apple ha lanzado una solución a una falla de seguridad peligrosa que podría haber permitido a los actores de amenazas hacerse cargo por completo de las versiones anteriores del iPhone y el iPad.
Aparentemente, la falla se estaba utilizando en la naturaleza, pero Apple no comparte ningún detalle sobre los incidentes exactos hasta la mayoría de los puntos finales. (se abre en una pestaña nueva) aplique el parche.
El parche soluciona una vulnerabilidad de debilidad por confusión en el motor del navegador web Webkit de Apple. Se rastrea como CVE-2022-42856 y permite a los actores de amenazas ejecutar código arbitrario en los dispositivos de destino que, en teoría, también podría darles acceso a todo el dispositivo. Se le otorgó una puntuación de gravedad de 8,8 – «Alta».
Explotación activa
A fines de 2022, Apple lo arregló para Safari 16.2, tvOS 16.2, macOS Ventura 13.1, iOS 15.7.2 y iPadOS 15.7.2, iOS 16.1.2. Ahora, amplió el alcance del parche a un conjunto más amplio de series de dispositivos vulnerables, incluidos iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 y iPod touch (6.ª generación).
Apple dice que hay informes de que la falla se está «explotando activamente» en la naturaleza, pero no quiere compartir ningún detalle, ya que podría provocar que más actores de amenazas intenten abusar de ella. Los medios de comunicación dicen que lo más probable es que el CVE se use solo en «ataques dirigidos», pero eso no significa que los consumidores regulares no deban apresurarse a aplicar el parche.
La solución se presenta como parte de un evento de parcheo más amplio, en el que Apple solucionó docenas de fallas de seguridad encontradas tanto en su navegador web Safari como en las últimas iteraciones de dispositivos macOS, iOS y watchOS. Sin embargo, parece que CVE-2022-42856 es la única vulnerabilidad reparada que se explota activamente en la naturaleza.
Esperamos que Apple publique los detalles sobre cómo los delincuentes se aprovecharon de la falla y si se incluyeron malware, ladrones de información o troyanos.
Vía: BleepingComputer (se abre en una pestaña nueva)