Parcheado en iOS un fallo explotable mediante un JPEG malicioso

Apple parcheó el lunes una vulnerabilidad de ejecución de código malicioso en iOS que podía ser explotada a través de un fichero JPEG específicamente diseñado. La compañía también lanzó su primera ronda de parches para macOS (antes OS X) Sierra como parte de una gran actualización que también incluye correcciones para vulnerabilidades halladas en Safari, Apple Watch y Apple TV.

MacOS Sierra e iOS 10.1 son los productos que más parches han recibido, con 12 cada uno. Como suele ser habitual en el gigante de Cupertino, la compañía mantiene de forma hermética muchos de los bugs graves relacionados con la ejecución de código arbitrario y vulnerabilidades que puedan ocasionar una filtración de datos personales. Tampoco se sabe sobre qué vulnerabilidades han podido ser explotadas de forma pública.

iOS 10.1

Como ya hemos comentado, los parches publicados el lunes han corregido 12 fallos encontrados en iOS 10.1, que funciona sobre dispositivos iPhone 5 o superior o iPads de cuarta generación en adelante. Se ha corregido un bug relacionado con una vulnerabilidad en CoreGraphics (CVE-2016-4635) presente en iPhone, iPad y iPod Touch. El parche corrige una corrupción de memoria que permitía ejecutar código arbritrario si el usuario abría una imagen JPEG específicamente diseñada.

Una corrección para FaceTime (CVE-2016-4635) fue publicada para los modelos iPhone 5 y posteriores, cuarta generación de iPads y sexta generación de iPod Touch. El fallo permitía a un atacante con una posición privilegiada en la red causar una “llamada de transmisión para continuar transmitiendo audio mientras aparece como si la llamada se hubiese terminado”.

macOS Sierra

Para macOS Sierra también se han corregido una docena de vulnerabilidades, a la vez que Apple acaba de lanzar la versión 10.12.1 de su sistema operativo.

Los parches corrigen una gran variedad de vulnerabilidades que han surgido desde que el sistema operativo fue lanzado el pasado 21 de septiembre, incluyendo tres problemas de seguridad que permitían la ejecución de código arbitrario. Dos de esas vulnerabilidades (CVE-2016-4667 y CVE-2016-4674) están relacionadas con la característica de Seguridad de Transporte de Aplicaciones (ATP) anunciada en el pasado WWDC para iOS 9. La característica requiere que todas la aplicaciones de iOS usen conexiones HTTPS. Apple ha dicho que ha corregido una corrupción de memoria relacionada con ATP que impactaba en esta característica sobre Sierra.

La otra vulnerabilidad (CVE-2016-4670) permitía a un atacante local “observar la longitud de una contraseña de acceso cuando el usuario accedía”. Apple ha dicho que ha corregido el problema eliminando la longitud de la contraseña en su sistema operativo de escritorio.

Apple también ha corregido agujeros de seguridad en OS X Yosemite 10.10.5 y OS X El Capitan 10.11.6 y un bug en el driver de NVIDIA (CVE-2016-4663) que podía causar una denegación de servicio sobre los sistemas objetivo. Otra vulnerabilidad descubierta (CVE-2016-4671) impactaba en OS X El Capitan 10.11.6, permitiendo que un PDF malicioso pudiese ejecutar código sobre un sistema vulnerable.

Safari

El navegador web de Apple, basado en su día en KHTML, ha recibido dos actualizaciones que corrigen dos fallos que podían permitir la filtración de datos del usuario o la ejecución de código arbitrario. Ambos se explotaban a través de webs maliciosas específicamente diseñadas. El primer bug (CVE-2016-4613) está relacionado con Safari 10.0.1 y WebKit y podía permitir el procesamiento de código malicioso introducido en una web para provocar una filtración de los datos del usuario. El fallo ha sido corregido en OS X Yosemite v10.10.5, OS X El Capitan v10.11.6, y macOS Sierra 10.12 a través de la mejora del gestor de estado de WebKit.

La otra vulnerabilidad afectaba a WebKit, estando relacionada con una corrupción de memoria múltiple que podía permitir que una web maliciosa específicamente diseñada pudiese provocar una ejecución de código arbitrario. El fallo ha sido corregido en OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, y macOS Sierra 10.12.

Apple TV

Para los usuarios de Apple TV de cuarta generación (10.0.1), la compañía ha publicado 11 boletines de seguridad que van desde el fallo de libxpc (CVE-2016-4675), que permitía la ejecución de código arbitrario con privilegios de administrador para una aplicación sin especificar, hasta un fallo menos serio localizado en los Perfiles de Sandbox (CVE-2016-4664), que permitía que una aplicación puediese recuperar metatados de los directorios donde hay fotos.

La compañía está avisando de otra vulnerabilidad de credencial de proxy (CVE-2016-7579) que podía permitir a un atacante con una “posición privilegiada en la red” provocar una filtración de información sensible del usuario. No están claros cuales son los detalles de la vulnerabilidad, sin embargo, Apple ha dicho que está relacionado con un problema de phishing que fue corregido “eliminando las solicitudes de contraseñas de proxy no solicitadas”.

Una vulnerabilidad en CoreGraphics (CVE-2016-4673) fue reportada a Apple después de descubrirse una corrupción de memoria que permitía a un atacante enviar ficheros JPEG maliciosos que contenían en su interior una ejecución de código malicioso.

Apple Watch

El gigante de Cupertino ha corregido ocho vulnerabilidades relacionados con el sistema operativo de su wearable estrella, watchOS 3.1. Tres de esas vulnerabilidades podían crear condiciones para permitir la ejecución de código arbitrario. Uno de esos fallos (CVE-2016-4673), también presente en Apple TV, está relacionado con CoreGraphics y la apertura de un fichero JPEG con código malicioso.

Apple también ha identificado un fallo en el inicio del Apple Watch (CVE-2016-4669) que podía permitir a un usuario local “causar una terminación inesperada del sistema o una ejecución de código arbitrario en el kernel”.

Fuente | ThreatPost