El gigante tecnológico Apple lanzó el lunes actualizaciones para remediar una falla de día cero en iOS y iPadOS que, según dijo, ha sido explotada activamente en la naturaleza.
La debilidad, dado el identificador CVE-2022-42827 , se ha descrito como un problema de escritura fuera de los límites en el Kernel, que podría ser abusado por una aplicación no autorizada para ejecutar código arbitrario con los privilegios ma s altos.
La explotación exitosa de fallas de escritura fuera de los límites , que generalmente ocurren cuando un programa intenta escribir datos en una ubicación de memoria que esta fuera de los límites a los que puede acceder, puede resultar en la corrupción de datos, un bloqueo o ejecución de código no autorizado.
El fabricante del iPhone dijo que abordó el error con una verificación de límites mejorada, al tiempo que le dio crédito a un investigador anónimo por informar la vulnerabilidad.
Como suele ser el caso con las fallas de día cero explotadas activamente, Apple se abstuvo de compartir ma s detalles sobre la deficiencia adema s de reconocer que esta “al tanto de un informe de que este problema puede haber sido explotado activamente”.
CVE-2022-42827 es la tercera vulnerabilidad de memoria fuera de los límites consecutiva relacionada con Kernel que parchea Apple después de CVE-2022-32894 y CVE-2022-32917 , las dos últimas de las cuales también se informó previamente que estaban armadas. en ataques del mundo real.
La actualización de seguridad esta disponible para iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores.
Con la última solución, Apple ha cerrado ocho fallas de día cero explotadas activamente y una vulnerabilidad de día cero conocida públicamente desde principios de año:
- CVE-2022-22587 (IOMobileFrameBuffer): una aplicación maliciosa puede ejecutar código arbitrario con privilegios de kernel
- CVE-2022-22594 (Almacenamiento WebKit): un sitio web puede rastrear información confidencial del usuario (conocida públicamente pero no explotada activamente)
- CVE-2022-22620 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2022-22674 (controlador de gra ficos Intel): una aplicación puede leer la memoria del kernel
- CVE-2022-22675 (AppleAVD): una aplicación puede ejecutar código arbitrario con privilegios de kernel
- CVE-2022-32893 (WebKit): el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
- CVE-2022-32894 (Kernel): una aplicación puede ejecutar código arbitrario con privilegios de kernel
- CVE-2022-32917 (Kernel): una aplicación puede ejecutar código arbitrario con privilegios de kernel
Adema s de CVE-2022-42827, la actualización también aborda otras 19 vulnerabilidades de seguridad, incluidas dos en Kernel, tres en Protocolo punto a punto (PPP), dos en WebKit y una en AppleMobileFileIntegrity, Core Bluetooth, IOKit, Sandbox , y ma s.
Actualización: el jueves, Apple aportó correcciones para la falla de día cero de iOS (CVE-2022-42827) explotada activamente en dispositivos ma s antiguos como parte de las actualizaciones de iOS y iPadOS 15.7.1 , junto con parches para otras 17 vulnerabilidades.
La lista de dispositivos afectados incluye iPhone 6s y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de 5.ª generación y posteriores, iPad mini 4 y posteriores y iPod touch (7.ª generación).
El gigante tecnológico también revisó el aviso que emitió a principios de esta semana para iOS 16.1 y iPadOS 16 para incluir 15 fallas nuevas ma s, incluidos cuatro problemas en el Kernel y otros en Apple Neural Engine, FaceTime, Graphics Driver y zlib, tomando el número total de correcciones a 36.
FUENTE: THN