En una alerta de seguridad, Apple anunció el lanzamiento de iOS 15.0.2 e iPadOS 15.0.2, versiones que contienen un parche para abordar una falla día cero explotada de forma activa recientemente. Identificada como CVE-2021-30883, la vulnerabilidad es descrita como un error de corrupción de memoria en IOMobileFrameBuffer cuya explotación permite la ejecución de comandos con privilegios kernel.
Debido a que los privilegios nivel kernel permiten a los actores de amenazas ejecutar comandos en el dispositivo objetivo, la vulnerabilidad permitiría a los hackers maliciosos inyectar malware y robar datos confidenciales.
Aunque el reporte no menciona detalles sobre la explotación activa de esta falla, sí se menciona que los ataques ya han sido confirmados: “Estamos al tanto de que esta falla ha sido explotada activamente”, agrega el mensaje de Apple.
La difusión de información limitada sobre fallas día cero es una medida estándar en la industria tecnológica, pues permite a los usuarios estar al tanto de las actualizaciones disponibles al tiempo que evita compartir detalles de la explotación con potenciales actores de amenazas, aunque no siempre se puede evitar la divulgación de estos detalles técnicos.
En este caso, el especialista en ciberseguridad Saar Amar publicó un informe técnico detallado de la vulnerabilidad, además de un exploit de prueba de concepto (PoC) obtenido al aplicar ingeniería inversa del parche emitido por Apple.
Sobre los dispositivos vulnerables a este ataque, la lista incluye equipos desde el modelo iPhone 6s y iPad Air 2 hasta las más recientes versiones compatibles con las iteraciones actualizadas. Por el momento no se conocen soluciones alternativas a esta vulnerabilidad, por lo que se recomienda a los usuarios de dispositivos Apple aplicar las actualizaciones lo antes posible.
Este ha sido un año convulso para Apple en términos de ciberseguridad, ya que la compañía ha tenido que abordar múltiples vulnerabilidades día cero en iOS y macOS. Entre las más destacadas fallas se encuentran:
- Dos fallas explotadas en la naturaleza para instalar el peligroso spyware Pegasus
- FORCEDENTRY, un exploit día cero para iOS encontrado en agosto
- CVE-2021-30713, una vulnerabilidad crítica para inyectar el malware XCSSET en dispositivos Apple
- CVE-2021-30761 y CVE-2021-30762, dos vulnerabilidades día cero explotadas activamente en dispositivos iPhone, iPad y algunos modelos de iPod
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.