Con el lanzamiento ayer de iOS 14.4 y resto de sistemas operativos, Apple ha incluido su típica corrección de errores. Sin embargo, Apple reconoce que iOS 14.4 soluciona tres errores de seguridad que según la compañía "podrían haber sido explotados activamente". Se trata de la primera vez que Apple reconoce explícitamente haber cerrado un fallo de seguridad que podría haber sido aprovechado en un ataque malicioso.
Safari y Kernel, los dos errores corregidos por iOS 14.4
El documento de seguridad de iOS 14.4 se recoge aquí, donde podemos ver la descripción de los tres errores corregidos con la actualización y encontrados por TechCrunch. Se trata de los siguientes:
- CVE-2021-1782: una aplicación maliciosa puede conseguir acceder a privilegios elevados en el Kernel.
- CVE-2021-1870 y CVE-2021-1871: un atacante remoto puede causar la ejecución de código de ejecución arbitrario en Webkit.
El Kernel es una parte fundamental del sistema operativo que permite al resto del software acceder al hardware. Webkit es el motor de navegador desarrollado por Apple para Safari, que se utiliza tanto en macOS como en iOS. Con frecuencia, un hacker utiliza varios errores en cadena para poder acceder a un dispositivo. En este caso, tenemos dos "llaves" para entrar y una "puerta" a la que acceder con ellas.
En TechCrunch no han conseguido más información del ataque por parte de Apple. Se desconoce si ha sido utilizado contra uno o varios usuarios ni si se ha explotado a gran escala. Eso sí, en la propia nota de seguridad se indica que "habrá detalles adicionales pronto".
Un investigador anónimo que podría recibir recompensa
En las notas de seguridad de una nueva versión de software, Apple suele indicar la persona o equipo que las ha encontrado. Si no aparece una atribución directa, se da por hecho que ha sido solucionado por su propio equipo. Pero, en este caso, los tres errores se atribuyen a "un investigador anónimo".
Lo normal en el mundo de la seguridad del hardware y software es dar a conocer este tipo de fallos de forma pública, una vez se ha contactado con la empresa y se han solucionado los errores. De esta forma, se gana relevancia y prestigio entre pares, como si fuera una nueva línea de currículum. Es por ello que llama la atención aún más el anonimato de esta persona o grupo que han dado a conocer los tres fallos.
No es la primera vez que se descubren errores de seguridad que han sido aprovechados de forma maliciosa. Uno de los casos más sonados fue el de Pegasus, un conjunto de tres errores que también permitía acceso al Kernel. Fueron utilizados por Emiratos Árabes Unidos para espiar a un disidente político del país, siendo solucionados por Apple en verano de 2016.
Apple lanzó un programa de recompensas hace tiempo, donde otorga premios monetarios a quienes logran romper la seguridad de sus dispositivos. Los premios van desde los 100.000 dólares por saltar la pantalla de bloqueo, hasta el millón por conseguir ejecutar código en el Kernel sin clicks.
Desde luego, el informante anónimo bien podría embolsarse unos cuantos cientos de miles de dólares por esos tres errores. Veremos si en las próximas semanas descubrimos más acerca de este asunto.
Ver 2 comentarios