Recientemente fueron abordadas por Apple un total de 48 vulnerabilidades que afectan a las versiones anteriores a la 13.5 en iOS y anteriores a la 10.15.5 en MacOS Catalina. A continuación se detallan algunas de las vulnerabilidades más resaltantes abordadas en las actualizaciones de seguridad:
Una vulnerabilidad de lectura fuera de límites en el framework ImageIO, identificada como CVE-2020-3878 de alto riesgo debido a una validación errónea de los datos de entrada que afecta a iOS y MacOS. Su explotación exitosa permitiría a un atacante la ejecución de código arbitrario.
Los CVE-2020-9789 y CVE-2020-9790 también en el framework ImageIO se deben a una escritura fuera de límites que afecta a iOS y macOS, y de ser explotada con éxito permitiría a un atacante la ejecución de código arbitrario. Estas 3 vulnerabilidades pueden ser explotadas a través del diseño de una textura PVR maliciosa, con el fin de producir una violación de acceso durante el proceso de renderización como puede ser visualizada en la imagen:
El CVE-2020-9827 en el componente Accounts y el CVE-2020-9826 en componente Airdrop se dan debido a una validación errónea de los parámetros de entrada lo cual podría permitir a un atacante remoto causar un ataque de denegación de servicios (DoS). Ambas vulnerabilidades afectan a dispositivos iOS y MacOS.
Por otro lado, el CVE-2020-9842 en la extensión del kernel AppleMobileFileIntegrity se da debido a un problema de análisis que afecta a iOS, podría permitir que una aplicación maliciosa interactúe con los procesos del sistema para seguidamente acceder a información privada y escalar privilegios.
Mientras que los CVE-2020-9813, CVE-2020-9814, CVE-2020-9795,CVE-2020-9852 y CVE-2020-9821 en el kernel de iOS y macOS se deben a un manejo indebido de la memoria, lo cual podría permitir a una aplicación maliciosa ejecutar código con privilegios del kernel.
El CVE-2020-9818 en el componente Mail se da debido a un fallo de escritura fuera de límites en iOS. Sabiendo esto, un atacante podría diseñar un correo malicioso especialmente diseñado para explotar la vulnerabilidad y llevar a una modificación de la memoria o la terminación de la aplicación.
Recomendaciones:
- Actualizar iOS a la versión 13.5, para los dispositivos iPhone 6s en adelante, iPad Air 2 en adelante, iPad Mini 4 en adelante y iPod Touch 7ma generacion.
- Actualizar iOS a la versión 12.4.7, para los dispositivos iPhone 5s, iPhone 6 plus, iPad Air 2, iPad Mini 2 y iPod Touch 6ta generacion.
- Actualizar macOS a la versión 10.15.5.
- Contar con un software de prevención de intrusos instalado en el dispositivo iPhone o Mac.
Referencias: