Actualizaciones de seguridad para productos Apple

Nivel de peligrosidad: CRÍTICO

El CCN-CERT, del Centro Criptológico Nacional, informa que Apple, empresa estadounidense de equipos electrónicos, software y servicios en línea, ha publicado cinco avisos de seguridad relacionados con seis vulnerabilidades de severidad alta y crítica, y que afectan a sus productos con sistemas operativos macOS Sonoma, macOS Monterey, watchOS, iOS, iPadOS y tvOS.

Una explotación exitosa de las vulnerabilidades indicadas permitiría la ejecución de código arbitrario y escalada de privilegios en el sistema de destino.

El fabricante ha confirmado que la vulnerabilidad identificada bajo CVE-2024-23212 ha podido ser explotada activamente por los ciberdelincuentes. Por ello, se recomienda que los usuarios apliquen las actualizaciones correspondientes en los dispositivos afectados.

A continuación, se muestran los detalles técnicos de la vulnerabilidad de severidad crítica publicada por Apple con el CVE correspondiente junto con una breve descripción.

CVE-2024-23212: Vulnerabilidad causada por un boundary error en el motor neuronal de Apple. Una aplicación local puede provocar la corrupción de la memoria y ejecutar código arbitrario con privilegios del kernel.

A continuación, se muestran los detalles técnicos de las vulnerabilidades de severidad alta publicadas por Apple con el CVE correspondiente junto con una breve descripción.

CVE-2024-23214: Vulnerabilidad derivada de un boundary error al procesar contenido HTML. Un atacante remoto puede crear un sitio web especialmente diseñado, engañar a la víctima para que lo abra, desencadenar una lectura fuera de los límites y ejecutar código arbitrario en el sistema de destino.
CVE-2024-23209: Vulnerabilidad existente debido a un boundary error al procesar contenido LLVM. Un atacante remoto puede crear un sitio web especialmente diseñado, engañar a la víctima para que lo abra, provocar la corrupción de memoria y ejecutar código arbitrario en el sistema de destino.
CVE-2024-23208: Vulnerabilidad que se debe a un boundary error dentro del kernel del sistema operativo. Una aplicación local puede provocar la corrupción de la memoria y ejecutar código arbitrario con privilegios del kernel.
CVE-2024-23222: Vulnerabilidad debida a un error de confusión del tipo al procesar contenido HTML. Un atacante remoto puede crear un sitio web especialmente diseñado, engañar a la víctima para que lo abra, desencadenar una lectura fuera de los límites y ejecutar código arbitrario en el sistema de destino.
CVE-2024-23213: Vulnerabilidad derivada de un boundary error al procesar contenido HTML. Un atacante remoto puede crear un sitio web especialmente diseñado, engañar a la víctima para que lo abra, desencadenar una lectura fuera de los límites y ejecutar código arbitrario en el sistema de destino.

La base de datos del NIST ha registrado las vulnerabilidades descritas, sin embargo, aún no se le ha asignado puntuación según la escala CVSSv3. El fabricante, sin embargo, ha clasificado las vulnerabilidades identificadas como altas. Apple ha informado que tiene conocimiento de que la vulnerabilidad identificada como CVE-2024-23212 ha podido ser explotada de manera activa. No obstante, no se han publicado pruebas de concepto (PoC) sobre los detalles de los fallos publicados ni exploits que aprovechen los fallos reportados.

Recursos afectados

Las vulnerabilidades reportadas afectan a las siguientes versiones:

watchOS: versiones anteriores a 10.3
tvOS: versiones anteriores a 17.3
iOS: versiones anteriores a 17.3
macOS Sonoma: versiones anteriores a 14.3
macOS Monterey: versiones anteriores a 12.7.3
iPadOS: versiones anteriores a 17.3

Solución a las vulnerabilidades

Los errores han sido corregidos por Apple en las versiones tvOS 17.3, macOS Sonoma 14.3, watchOS 10.3, macOS Monterey 12.7.3, iOS 17.3 y iPadOS 17.3.

Las actualizaciones pueden encontrarse en el siguiente enlace:

Actualizaciones de seguridad

Además, el fabricante proporciona las instrucciones que se adjuntan a continuación con la finalidad de facilitar la correcta aplicación de las actualizaciones de seguridad correspondientes:

El CCN-CERT recomienda encarecidamente a los usuarios y administradores de sistemas que realicen las actualizaciones mencionadas con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.

Referencias