Este jueves el investigador de seguridad conocido como Illusion of Chaos reveló múltiples detalles sobre tres vulnerabilidades día cero en iOS, asegurando que Apple recibió informes sobre estas fallas desde hace meses y simplemente no las ha corregido. Los detalles sobre estas tres fallas fueron publicados en un blog de Habr, junto con códigos de prueba de concepto (PoC) disponibles en GitHub.
En su reporte, el investigador describió las fallas como se muestra a continuación:
- Una falla en el Gamed que puede ser explotada para obtener acceso a datos confidenciales del usuario, incluyendo correos electrónicos de AppleID, nombres y token de autenticación, además de permitir el acceso al sistema de archivos del dispositivo afectado
- Un error en el daemon nehelper que podría ser explotado desde una aplicación maliciosa permitiría a los actores de amenazas identificar otras aplicaciones instaladas en un dispositivo
- Un segundo error en el daemon nehelper permitiría a una aplicación maliciosa obtener acceso a detalles del sistema comprometido
Illusion of Chaos asegura que las vulnerabilidades pueden ser explotadas en iOS 15, la versión más reciente del sistema operativo lanzada apenas hace unos días. El investigador publicó una última PoC para un cuarto problema, descrito como un error en el daemon iOS Analyticsd reportado en abril y abordado por Apple con el lanzamiento de iOS 14.7.
Si bien Apple no ha mencionado nada al respecto, algunos miembros de la comunidad de la ciberseguridad creen que la compañía no dio importancia a estas tres vulnerabilidades debido a que su explotación no conduciría a la ejecución de código malicioso u otras amenazas de seguridad, por lo que probablemente no serán abordadas.
Sobre los motivos para divulgar públicamente estos errores, el investigador se dijo molesto con la forma en que actualmente opera el programa de recompensas de Apple: “He reportado cuatro fallas día cero solo en este año y todas siguen siendo explotables en iOS 15. Cuando cuestioné a la compañía se disculparon y me aseguraron que las fallas serían corregidas eventualmente, cosa que no ha ocurrido”.
Este parece ser un problema recurrente para los investigadores independientes que tratan de reportar problemas a través del programa de recompensas de Apple. En Twitter, pueden encontrarse decenas de quejas similares provenientes de los más reconocidos investigadores de seguridad.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.