La vulnerabilidad de correo permite a los atacantes atacar en silencio iPhones y iPads [atualizado: Apple se pronuncia]

Un día más, uno más vulnerabilidad: Esta vez, estamos hablando de uno que Apple aún no ha parcheado en las últimas versiones de iOS/iPadOS y que podría permitirle entrar en sus dispositivos de forma completamente silenciosa.

El problema en realidad gira en torno a dos vulnerabilidades en el correodescubierto por la firma de seguridad ZecOps. La publicación original de la compañía tiene todos los detalles, pero básicamente, la falla permite a los atacantes inyectar de forma remota un código ejecutable en el dispositivo de una víctima a través de un mensaje abierto en la aplicación, lo que permite la instalación de software malicioso.

El correo electrónico en cuestión no necesita contener ningún tipo de contenido, y el ataque no requiere que la víctima toque/haga clic en ningún enlace o descargue ningún archivo; según el descubrimiento de ZecOps, el proceso puede iniciarse simplemente abriendo el mensaje. . Todo el ataque se lleva a cabo de manera silenciosa: la única anomalía que siente el usuario sería un bloqueo de la aplicación Mail (en iOS 12) o algunos momentos de lentitud (en iOS/iPadOS 13).

Los investigadores dicen que básicamente todas las versiones del sistema operativo móvil (desde iOS 6, que fue la más antigua que se probó) son vulnerables; por otro lado, Apple ya es consciente del problema. Parece que la falla ya se solucionó en la última versión beta de iOS 13.4.5, pero aún está presente en la versión «actual» actual del sistema.

Aún así, por ahora, no hay razón para entrar en pánico o deshabilitar Mail por completo hasta nuevo aviso. Según ZecOps, los invasores del mundo real han explotado las fallas e incluso han sido adquiridas por un estado-nación; los ataques, sin embargo, solo se han llevado a cabo contra usuarios altamente específicos: periodistas internacionales, ejecutivos corporativos y otras figuras de amplio interés. Es decir, es muy poco probable que las vulnerabilidades se utilicen para invadir los dispositivos de simples mortales como nosotros.

Aún así, si ve motivos para preocuparse o simplemente no quiere correr ningún riesgo, la mejor manera de hacerlo es dejar de lado Mail hasta que Apple solucione el problema. Parece que no será una separación muy larga, al menos.

Resurge la vulnerabilidad “Insomnio”

Sin embargo, esta no es la única noticia reciente que involucra vulnerabilidades en iOS/iPadOS. De acuerdo con ZDNetuna falla conocida como «Insomnio»que ya había sido explotado el año pasado y reparado por Apple, reapareció en iOS/iPadOS 12.3 y 12.3.2.

Hablamos sobre la vulnerabilidad en este artículo, detallando cómo los piratas informáticos financiados por el gobierno chino la estaban explotando para invadir y vigilar a las personas de la población. uiguruna etnia musulmana que habita en el noroeste del país y, por su identificación con la cultura y costumbres de Asia Central, es frecuentemente perseguida por Pekín.

iOS 12.4 definitivamente arregló el «Insomnio», pero como todavía hay muchos dispositivos obsoletos en todo el mundo, es posible que los grupos de piratas informáticos continúen ingresando a los dispositivos para vigilar a la población uigur. Este artículo de la firma de seguridad Volecity tiene más información sobre el método de ataque y la vulnerabilidad en cuestión.

Actualizar por Rafael Fischmann 24/04/2020 a las 07:15

Apple ha comentado sobre la vulnerabilidad en Mail descubierta por ZecOps:

En traducción directa, la nuestra:

Apple se toma muy en serio todos los informes de amenazas a la seguridad. Hemos investigado a fondo el informe del investigador y, según la información proporcionada, hemos llegado a la conclusión de que estos problemas no representan un riesgo inmediato para nuestros usuarios. El investigador identificó tres problemas en Mail, pero por sí solos son insuficientes para superar las protecciones de seguridad de iPhone y iPad, y no encontramos evidencia de que se usaran contra los consumidores. Estos posibles problemas se solucionarán pronto en una actualización de software. Valoramos nuestra colaboración con los investigadores de seguridad para ayudar a mantener seguros a nuestros usuarios y le daremos crédito al investigador por su ayuda.

Es decir, puede esperar que salga un «iOS 13.4.2» muy pronto.

Artículos relacionados