Apple corrigió el lunes una vulnerabilidad de día cero de alta gravedad que brinda a los atacantes la capacidad de ejecutar de forma remota código malicioso que se ejecuta con los privilegios más altos dentro del kernel del sistema operativo de iPhones y iPads completamente actualizados.
En un aviso, Apple dijo que CVE-2022-42827, a medida que se rastrea la vulnerabilidad, «puede haber sido explotada activamente», usando una frase que es la jerga de la industria para indicar que se está explotando una vulnerabilidad previamente desconocida. La falla de corrupción de la memoria es el resultado de una «escritura fuera de los límites», lo que significa que el software de Apple estaba colocando código o datos fuera de un búfer protegido. Los piratas informáticos a menudo explotan dichas vulnerabilidades para poder canalizar código malicioso a regiones sensibles de un sistema operativo y luego hacer que se ejecute.
La vulnerabilidad fue reportada por un “investigador anónimo”, dijo Apple, sin dar más detalles.
Esta hoja de cálculo mantenida por los investigadores de Google mostró que Apple corrigió siete días cero en lo que va del año, sin incluir CVE-2022-42827. Contando este último, el total de día cero de Apple para 2022 ascendería a ocho. Bleeping Computer, sin embargo, dijo que CVE-2022-42827 es el noveno día cero de Apple corregido en los últimos 10 meses.
Los días cero son vulnerabilidades que se descubren y se filtran o explotan activamente antes de que el proveedor responsable haya tenido la oportunidad de lanzar un parche que solucione la falla. Un solo día cero a menudo se vende por $ 1 millón o más. Para proteger su inversión, los atacantes que tienen acceso a los días cero suelen trabajar para estados-nación u otras organizaciones con mucho dinero y explotan las vulnerabilidades en campañas muy específicas. Una vez que el proveedor se entera del día cero, por lo general se parchea rápidamente, lo que hace que el valor de la vulnerabilidad se desplome.
La economía hace que sea muy poco probable que la mayoría de las personas hayan sido atacadas por esta vulnerabilidad. Sin embargo, ahora que hay un parche disponible, otros atacantes tendrán la oportunidad de aplicar ingeniería inversa para crear sus propios exploits para usar contra dispositivos sin parches. Los usuarios afectados, incluidos los que usan iPhone 8 y posteriores, iPad Pros, iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores, deben asegurarse de que ejecutan iOS 16.1 o iPadOS 16.
Además de CVE-2022-42827, las actualizaciones corrigen otras 19 vulnerabilidades de seguridad, incluidas dos en el kernel, tres en el protocolo punto a punto, dos en WebKit y una en AppleMobileFileIntegrity, Core Bluetooth, IOKit y este sandbox de iOS.
Publicación actualizada para cambiar «se apresura» a «lanzamientos» en el título y agregar «también» en la cubierta inferior.