Apple se ha movido rápidamente para parchear su navegador Safari contra una vulnerabilidad de seguridad grave que está afectando a varios de sus sistemas operativos.
Safari 15.6.1 para macOS Big Sur y Catalina ya está disponible para descargar, y se recomienda a cualquiera que use esas versiones que actualice de inmediato.
La solución para CVE-2022-32893 corrige una falla de escritura fuera de los límites en WebKit, el motor de Safari que también utilizan otras aplicaciones con acceso web.
Error de escritura fuera de los límites
Apple ha confirmado que supuestamente la falla ya se está explotando en la naturaleza, y cuando se abusa, la falla permite a los actores de amenazas ejecutar código remoto en un dispositivo vulnerable, de forma remota.
«El procesamiento de contenido web creado con fines maliciosos puede conducir a la ejecución de código arbitrario. Apple está al tanto de un informe que indica que este problema puede haber sido explotado activamente», dijo Apple en un aviso de seguridad. (se abre en una pestaña nueva).
Una falla de escritura fuera de los límites ocurre cuando un actor de amenazas obliga a un programa de entrada a escribir datos antes del comienzo o después del final del búfer de memoria. Eso bloquea el programa, corrompe los datos y permite a los actores de amenazas ejecutar código de forma remota. La solución para Big Sur y Catalia está en la misma línea que la de Monterey: a través de una verificación de límites mejorada.
Dado que la falla se está explotando en la naturaleza, Apple se mantiene callada sobre el problema hasta que se parcheen la mayoría de los puntos finales.
La compañía dijo que un usuario anónimo le había informado sobre las fallas y agregó que ahora había mejorado sus límites al verificar ambos errores.
Apple ha estado muy ocupado arreglando los días cero este año. En enero de 2022, corrigió dos fallas de este tipo, a saber, CVE-2022-22578 y CVE-2022-22594, que permitían la ejecución de código arbitrario con privilegios de kernel.
Un mes después, arregló otro día cero, que afectó a iPhones, iPads y Mac, y permitió a los actores de amenazas bloquear el sistema operativo y ejecutar la ejecución remota de código, y en marzo, Apple parchó CVE-2022-22674 y CVE-2022- 22675, se abusó de dos días cero para ejecutar código con privilegios de Kernel.
Vía: BleepingComputer (se abre en una pestaña nueva)