Apple ha publicado actualizaciones de seguridad de emergencia para solucionar dos nuevas vulnerabilidades de día cero explotadas en ataques para comprometer iPhones, Macs y iPads.
«Apple es consciente de que este problema puede haber sido explotado activamente», dijo la compañía al describir los problemas en los avisos de seguridad publicados el viernes.
El primer fallo de seguridad (rastreado como CVE-2023-28206) es una escritura fuera de los límites de IOSurfaceAccelerator que podría provocar la corrupción de datos, un bloqueo o la ejecución de código.
Una explotación exitosa permite a los atacantes utilizar una aplicación maliciosamente diseñada para ejecutar código arbitrario con privilegios de kernel en los dispositivos objetivo.
El segundo día cero (CVE-2023-28205) es un punto débil de WebKit que permite la corrupción de datos o la ejecución de código arbitrario al reutilizar la memoria liberada.
Este fallo puede explotarse engañando a los objetivos para que carguen páginas web maliciosas bajo el control de los atacantes, lo que podría llevar a la ejecución de código en los sistemas comprometidos.
Las dos vulnerabilidades de día cero se solucionaron en iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 y Safari 16.4.1 con mejoras en la validación de entradas y la gestión de memoria.
Aunque Apple dice que está al tanto de los informes de explotación in-the-wild, la compañía aún no ha publicado información relativa a estos ataques.
Sin embargo, reveló que los dos fallos habían sido denunciados por Clément Lecigne, del Grupo de Análisis de Amenazas de Google, y Donncha Ó Cearbhaill, del Laboratorio de Seguridad de Amnistía Internacional, tras encontrarlos explotados in-the-wild como parte de una cadena de exploits.