Apple publica parches de emergencia para vulnerabilidades WebKit explotadas activamente

Apple ha activado su modo de parches de emergencia tras descubrir múltiples vulnerabilidades zero-day en WebKit que estaban siendo explotadas activamente. Estos fallos afectan a todas las versiones compatibles de iOS, iPadOS, macOS, tvOS y Safari, con potencial impacto en cientos de millones de dispositivos Apple en todo el mundo.

Las vulnerabilidades, identificadas como CVE-2023-32409 y CVE-2023-28204, residen en el procesamiento de contenido web por parte de WebKit. Una explotación exitosa podría permitir a los atacantes ejecutar código arbitrario en dispositivos vulnerables simplemente haciendo que las víctimas visiten sitios web maliciosos especialmente diseñados. Este tipo de ataque 'drive-by download' no requiere interacción del usuario más allá de cargar una página, lo que lo hace particularmente peligroso.

Los investigadores de seguridad que analizaron los fallos determinaron que involucran problemas de corrupción de memoria que pueden ser activados durante el procesamiento de contenido web. Apple ha abordado estos problemas con mejoras en el manejo de memoria y gestión de estados en WebKit. La compañía reconoció tener 'conocimiento de informes que indican que estas vulnerabilidades podrían haber sido explotadas activamente' antes de que estuvieran disponibles los parches.

Este es el cuarto lanzamiento de parches para vulnerabilidades zero-day por parte de Apple en 2023, continuando una tendencia preocupante de aumento de fallos en plataformas móviles siendo armados antes de que existan correcciones. La rápida explotación subraya cómo WebKit sigue siendo un objetivo principal para los atacantes debido a su papel central en el ecosistema de Apple - no solo impulsa Safari sino también navegadores dentro de aplicaciones y otros componentes del sistema.

Los equipos de seguridad empresarial deben tener en cuenta que, aunque técnicamente son vulnerabilidades del motor del navegador, afectan mucho más que solo Safari. Cualquier aplicación que utilice WebKit para renderizar contenido web podría servir como vector de ataque. Esto expande significativamente la superficie de ataque potencial tanto en dispositivos Apple personales como corporativos.

Apple ha lanzado actualizaciones para:

• iOS 16.5 e iPadOS 16.5


• macOS Ventura 13.4


• Safari 16.5


• tvOS 16.5


• watchOS 9.5

Las organizaciones que gestionan flotas de dispositivos Apple deben priorizar estas actualizaciones, especialmente para empleados que manejan datos sensibles o acceden a recursos corporativos desde dispositivos móviles. La explotación activa en ataques dirigidos sugiere que los actores de amenazas podrían estar enfocándose en objetivos de alto valor, potencialmente incluyendo usuarios corporativos y gubernamentales.

Este incidente sigue a parches de emergencia similares de otros grandes proveedores recientemente, incluyendo la actualización crítica de Mozilla para Firefox que abordaba un zero-day similar a uno corregido recientemente en Chrome. La frecuencia de estas actualizaciones fuera de ciclo resalta la creciente sofisticación de los actores de amenazas al descubrir y armar vulnerabilidades en navegadores.