Apple ha publicado actualizaciones de seguridad urgentes para iPhones, iPads y Macs tras revelar dos vulnerabilidades que, según la compañía, podrían haber sido explotadas en ataques activos. Los fallos afectan a dos componentes especialmente sensibles del software: WebKit, el motor del navegador Safari, y el núcleo del sistema operativo, que controla los privilegios principales del dispositivo.
Las correcciones para dispositivos móviles llegaron a iOS 15.6.1 y iPadOS 15.6.1 el 17 de agosto. Apple indicó que la vulnerabilidad CVE-2022-32893 podría permitir que contenido web manipulado maliciosamente ejecutara código arbitrario, mientras que la CVE-2022-32894 podría permitir que una aplicación ejecutara código con privilegios de kernel. Respecto a ambas vulnerabilidades, Apple afirmó estar al tanto de un informe que indicaba que el problema "podría haber sido explotado activamente".
Dos defectos dejan al descubierto diferentes capas del dispositivo
La primera vulnerabilidad reside en WebKit, el motor que renderiza el contenido web en las plataformas de Apple. Apple describe la vulnerabilidad CVE-2022-32893 como una escritura fuera de límites que se solucionó mediante una comprobación de límites mejorada. En la práctica, un fallo en la forma en que el software gestiona los límites de memoria puede permitir que un código especialmente diseñado escriba datos donde no debería, lo que podría abrir la puerta a la ejecución de código arbitrario.
La segunda vulnerabilidad, CVE-2022-32894, afecta al núcleo del sistema operativo. El aviso de seguridad de macOS Monterey 12.5.1 indica que una aplicación podría ejecutar código arbitrario con privilegios de núcleo y vuelve a mencionar un informe sobre una posible explotación activa. La ejecución a nivel de núcleo es particularmente grave porque el núcleo se encuentra por debajo de las aplicaciones habituales y aplica algunos de los límites de seguridad más importantes del sistema operativo.
Apple también lanzó Safari 15.6.1 para macOS Big Sur y macOS Catalina el 18 de agosto para solucionar la vulnerabilidad de WebKit. Esta versión independiente de Safari amplía el alcance más allá de los equipos que ejecutan Monterey y refleja que la vulnerabilidad del motor del navegador afecta a varias versiones de sistemas operativos compatibles.
Los defensores del gobierno actúan con rapidez
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió ambas vulnerabilidades a su Catálogo de Vulnerabilidades Explotadas Conocidas el 18 de agosto, con fecha límite de remediación del 8 de septiembre para las agencias civiles federales afectadas. El catálogo de CISA está reservado para vulnerabilidades para las que existe evidencia de explotación e indica a las agencias que apliquen las soluciones proporcionadas por los proveedores.
La Oficina de Servicios de Tecnología de la Información del Estado de Nueva York emitió un aviso el 18 de agosto, advirtiendo que la explotación exitosa de las vulnerabilidades más graves de Apple podría permitir la ejecución de código arbitrario y, según los privilegios del usuario afectado, permitir a un atacante instalar programas, ver o modificar datos o crear nuevas cuentas. El aviso estatal se actualizó el 19 de agosto con la incorporación de nuevos productos y correcciones de Apple.
La rápida respuesta del sector público refleja un cambio en la gestión de vulnerabilidades, que prioriza las fallas conocidas o fuertemente sospechadas de ser explotadas, en lugar de tratar todos los defectos de software por igual. Para las organizaciones que administran grandes flotas de iPhones, iPads y Macs, la presencia de una vulnerabilidad en un catálogo de vulnerabilidades conocidas y explotadas transforma la aplicación de parches, pasando del mantenimiento rutinario a una tarea inmediata de prevención de incidentes.
Apple proporciona pocos detalles sobre los atacantes
Apple no ha revelado quién descubrió las dos vulnerabilidades, identificando al investigador únicamente como anónimo, ni ha descrito quién las está explotando, cuántos dispositivos podrían haber sido afectados ni si se han utilizado ambas vulnerabilidades de forma conjunta. Por lo tanto, las declaraciones de la compañía son significativas por lo que establecen —que podría estar produciéndose una explotación activa—, pero limitadas en lo que revelan sobre la campaña que la respalda.
Esta ambigüedad es común en las vulnerabilidades móviles de alto valor. Un fallo en WebKit puede proporcionar una vía de acceso inicial a un dispositivo mediante contenido web malicioso, mientras que una vulnerabilidad independiente del kernel puede permitir a un atacante eludir las restricciones de una aplicación o proceso del navegador y alcanzar una posición más privilegiada. Apple no ha declarado públicamente que estos dos fallos conformen una única cadena de explotación, y los usuarios no deben darlo por sentado. Sin embargo, su divulgación simultánea implica que ambas capas requieren corrección.
Los informes de seguridad recientes han destacado la gravedad de la combinación. El 18 de agosto, The Guardian informó que los especialistas en seguridad instaban a actualizar rápidamente sus sistemas, especialmente para las personas que podrían ser blanco de una vigilancia sofisticada, como periodistas y activistas. El informe también señaló que los breves avisos de Apple no proporcionaban detalles técnicos sobre los ataques en sí.
La población afectada es amplia
Apple afirma que las correcciones para iOS y iPadOS se aplican al iPhone 6s y posteriores, a todos los modelos de iPad Pro, al iPad Air 2 y posteriores, al iPad de quinta generación y posteriores, al iPad mini 4 y posteriores, y al iPod touch de séptima generación. Los usuarios de macOS Monterey reciben ambas correcciones en la versión 12.5.1, mientras que Safari 15.6.1 proporciona la reparación de WebKit para Big Sur y Catalina.
La amplitud del alcance es importante porque los dispositivos Apple son comunes tanto en el uso doméstico como en empresas que dependen de sistemas de gestión de dispositivos móviles. Si bien las organizaciones pueden implementar o exigir actualizaciones de forma centralizada, los dispositivos gestionados individualmente dependen de que los usuarios las instalen. Una actualización de seguridad puede estar disponible globalmente y aun así dejar un gran número de sistemas vulnerables si los usuarios posponen la instalación.
La entrada independiente del gobierno estadounidense en el catálogo para CVE-2022-32894 refuerza la necesidad de prestar atención a ambos fallos. CISA cataloga el problema del kernel como una vulnerabilidad de escritura fuera de límites en iOS y macOS de Apple, añadida el 18 de agosto, e instruye a las agencias a aplicar las actualizaciones de los proveedores.
La actualización es la medida de mitigación decisiva
No hay indicios públicos de que los usuarios comunes puedan detectar con fiabilidad si alguna de estas vulnerabilidades se ha utilizado contra sus dispositivos. Por ello, la prevención es más importante que el autodiagnóstico. La solución de Apple es sencilla: instalar las actualizaciones del sistema operativo y de Safari en los dispositivos compatibles.
Este episodio coincide con los preparativos de Apple para incorporar funciones de seguridad adicionales a su próxima generación de sistemas operativos, incluido un modo de bloqueo muy restrictivo para usuarios que se enfrenten a amenazas dirigidas excepcionales. Sin embargo, las futuras medidas de protección no resuelven las vulnerabilidades actuales. Para las vulnerabilidades CVE-2022-32893 y CVE-2022-32894, la defensa pertinente esta semana reside en el software que Apple ya ha distribuido.
Para empresas, agencias gubernamentales y particulares, el cálculo del riesgo es inusualmente claro. Apple ha reconocido la posible explotación activa de las vulnerabilidades; estas permiten la ejecución de código arbitrario; y existen soluciones disponibles para las principales plataformas afectadas. La incógnita reside en la rapidez con que dichas soluciones lleguen a los dispositivos que las necesitan.
