Apple ha actualizado sus sistemas operativos con las versiones macOS Monterey 12.5.1, iOS 15.6.1 y iPadOS 15.6.1, para solucionar dos vulnerabilidades "zero-day" que están siendo explotadas activamente. Es decir, esta amenaza afecta a iPhones, iPads y Macs.
Uno de los fallos de seguridad, que afecta a los tres sistemas, es una vulnerabilidad que los hackers pueden aprovechar para otorgar a las aplicaciones maliciosas los privilegios más altos, en otras palabras, un atacante podría usarla para tomar el control absoluto sobre un dispositivo vulnerable.
La segunda vulnerabilidad, etiquetada como CVE-2022-32893, es un fallo de escritura fuera de límites en WebKit, el motor de Safari utilizado por otras aplicaciones con acceso a la web. Esta también puede ser usada para tomar el control de un dispositivo vulnerable, ya que permite a los atacantes ejecutar un código arbitrario.
Mantén tus dispositivos a salvo
Apple ha afirmado que ha sido un usuario anónimo el que les ha avisado de estos fallos de seguridad, y ha añadido que tras esto han mejorado la comprobación de ambos fallos.
Si tienes un dispositivo de Apple de los de la siguiente lista, te recomendamos que actualices el sistema operativo lo antes posible para parchear el problema, y con más razón porque este fallo está siendo explotado activamente por los hackers:
- Macs con macOS Monterey
- iPhone 6 o dispositivos posteriores
- Todos los iPad Pro
- iPad Air 2 y dispositivos más recientes
- iPads de quinta generación y posteriores
- iPads mini 4 y dispositivos más recientes
- iPod touch de séptima generación
Apple ha estado bastante ocupada corrigiendo vulnerabilidades "zero-day" en los últimos meses. En enero de 2022, corrigió dos de estos fallos, el CVE-2022-22578 y el CVE-2022-22594, que permitían la ejecución de código arbitrario con privilegios del kernel. Un mes más tarde, corrigió otro fallo de seguridad, que afectaba a iPhones, iPads y Macs, y que permitía a los atacantes colapsar el sistema operativo y ejecutar código de forma remota.
En marzo, parcheó las vulnerabilidades CVE-2022-22674 y CVE-2022-22675, que también permitían ejecutar código con privilegios del kernel.
Vía: BleepingComputer
