Actualiza iOS y macOS de inmediato; sí, otra vez

Hace poco escribíamos sobre las vulnerabilidades en los sistemas operativos de Apple y Microsoft, así como en los chips Exynos de Samsung, que permitían hackear smartphones sin la intervención del propietario, y ahora ha saltado la noticia de un par de agujeros de seguridad muy graves tanto en iOS como macOS, además de los que ya estaban explotando los atacantes. Las vulnerabilidades son tan críticas que, para combatirlas, Apple ha lanzado rápidamente actualizaciones no solo para los últimos sistemas operativos, sino también para varias versiones anteriores. Pero vayamos paso a paso…

Las vulnerabilidades en WebKit y IOSurfaceAccelerator

En total, se han descubierto dos vulnerabilidades. La primera, llamada CVE-2023-28205 (nivel de amenaza: “alto” [8,8/10]), se refiere al motor WebKit, que es la base del navegador Safari (y no solo eso). La esencia de esta vulnerabilidad es que, utilizando una página maliciosa especialmente creada, los ciberdelincuentes pueden ejecutar código arbitrario en un dispositivo.

La segunda vulnerabilidad, la CVE-2023-28206 (nivel de amenaza “alto” [8,6/10]), se descubrió en el objeto IOSurfaceAccelerator. Los atacantes pueden usarla para ejecutar código con permisos básicos del sistema operativo. Por lo tanto, estas dos vulnerabilidades se pueden usar en conjunto: la primera sirve para penetrar inicialmente en el dispositivo para que la segunda pueda explotarse. Además, la segunda también te permite “escapar del sandbox” y hacer casi cualquier cosa con el dispositivo infectado.

Las vulnerabilidades se pueden encontrar tanto en los sistemas operativos de macOS como en las versiones móviles: iOS, iPadOS y tvOS. Pero no solo quedan vulnerables las últimas generaciones de estos sistemas operativos, sino también las anteriores; por lo que Apple ha lanzado actualizaciones (una tras otra) para una gran variedad de sistemas: macOS 11, 12 y 13, iOS/iPadOS 15 y 16 y también tvOS 16.

Por qué son tan peligrosas estas vulnerabilidades

WebKit es el único motor de navegación que está permitido en los sistemas operativos móviles de Apple. Por tanto, independientemente del navegador que uses en tu iPhone, WebKit seguirá utilizándose para renderizar páginas web (por lo que cualquier navegador en iOS es en esencia Safari).

Además, este mismo motor también se puede usar cuando las páginas web se abren desde cualquier otra aplicación. De hecho, aunque a veces ni siquiera parezca una página web, WebKit seguirá involucrado. Por ello es tan importante que instales cuanto antes las nuevas actualizaciones relacionadas con Safari, incluso aunque normalmente uses un navegador diferente como Google Chrome o Mozilla Firefox.

Las vulnerabilidades en WebKit, como la descrita anteriormente, hacen posible la llamada infección de “clic cero” en un iPhone, iPad o Mac. Es decir, el dispositivo se infecta sin que el usuario tenga que interferir, basta con atraerlo a un sitio malicioso.

A menudo, estas vulnerabilidades se explotan en los ataques dirigidos hacia gente poderosa o grandes organizaciones, aunque el usuario común también puede verse afectado si tiene la mala suerte de acabar en una página infectada. Y parece que algo similar está pasando en este caso. Como es habitual, Apple no ha divulgado los detalles, pero, por lo visto, los atacantes ya están explotando en activo esta cadena de vulnerabilidades para instalar spyware.

Además, dado que ya todo el mundo conoce las CVE-2023-28205 y CVE-2023-28206 y que se ha publicado una prueba de concepto de la segunda vulnerabilidad, es probable que otros ciberdelincuentes empiecen a explotarla también.

Cómo protegerte contra estas vulnerabilidades

Evidentemente, la mejor forma de protegerte contra las CVE-2023-28205 y CVE-2023-28206 es instalando de inmediato las nuevas actualizaciones de Apple. Esto es lo que tienes que hacer, según el dispositivo en cuestión:

• Si tienes uno de los últimos dispositivos iOS, iPadOS o tvOS, deberías actualizar el sistema operativo a la versión 4.1.
• Si tienes un iPhone o iPad antiguo que ya no admite la última versión del sistema operativo, debes actualizar a la versión 7.5.
• Si tu Mac ejecuta el último Ventura OS, simplemente tienes que actualizar a macOS 3.1.
• Si tu mac ejecuta los macOS Big Sur o Monterrey, tendrás que actualizar a macOS 7.6 o 12.6.5, respectivamente y también instalar la actualización de Safari.

Y, evidentemente, no te olvides de salvaguardar tu Mac con un software antivirus de confianza que te proteja contra las nuevas vulnerabilidades que todavía no se hayan solucionado.