Apple corrige silenciosamente iOS zero-day, le pide al reportero de errores que se calle

Apple reparó silenciosamente una vulnerabilidad de día cero "apostada" con el lanzamiento de iOS 15.0.2 el lunes, una falla de seguridad que podría permitir a los atacantes acceder a información confidencial del usuario.

La empresa resolvió el problema sin reconocer ni acreditar al desarrollador de software Denis Tokarev para su descubrimiento a pesar de que informó sobre la falla siete meses antes del lanzamiento de iOS 15.0.2.

Sin crédito por informes de errores

En julio, Apple también reparó silenciosamente una falla "analítica" de día cero con el lanzamiento de 14.7 sin acreditar a Tokarev en el aviso de seguridad, en lugar de prometer reconocer su informe en los avisos de seguridad para una próxima actualización.

Desde entonces, Apple ha publicado varios avisos de seguridad (iOS 14.7.1, iOS 14.8, iOS 15.0 e iOS 15.0.1) que abordan las vulnerabilidades de iOS pero, cada vez, no han podido acreditar su informe de errores analíticos.

"Debido a un problema de procesamiento, su crédito se incluirá en avisos de seguridad en una próxima actualización. Disculpe las molestias", le dijo Apple cuando se le preguntó por qué se corrigió la lista de errores de seguridad de iOS. No incluía su día cero.

Hace dos días, después del lanzamiento de iOS 15.0.2, Tokarev volvió a enviar un correo electrónico sobre la falta de crédito por el juego y las fallas de análisis en los avisos de seguridad. Apple respondió y les pidió que trataran el contenido de su intercambio de correo electrónico como confidencial.

Esta no sería la primera vez que el equipo de seguridad de Apple solicita confidencialidad, la primera vez sucedió en agosto cuando se le dijo que el juego de día cero se arreglaría en una futura actualización de seguridad y se le instó a no divulgar públicamente el error.

"A fin de cuentas, tratan la vulnerabilidad de los juegos un poco mejor que lo analizado, al menos esta vez no me ignoran ni me mienten", dijo Tokarev a BleepingComputer.

Otros cazadores de errores e investigadores de seguridad también informaron haber tenido experiencias similares al informar vulnerabilidades al equipo de seguridad de productos de Apple a través del Programa de recompensas de seguridad de Apple.

Algunos han afirmado que los errores informados a Apple se solucionaron silenciosamente, y la compañía no les dio crédito, como lo hizo en este caso.

A otros no se les pagó la cantidad que figura en la página de recompensas oficial de Apple [12] o no han recibido ningún pago, mientras que algunos se han mantenido en la oscuridad durante meses para terminar sin respuestas a sus correos electrónicos.

Hay dos días cero para ir al parche (silencioso)

En total, Tokarev encontró cuatro días cero de iOS y los informó a Apple entre el 10 de marzo y el 4 de mayo. En septiembre, lanzó un código de explotación de prueba de concepto y detalles sobre todas las vulnerabilidades de iOS después de que la compañía no lo reconociera después de parchear el juego de día cero en julio.

Si los atacantes explotaron con éxito las cuatro vulnerabilidades en dispositivos iOS sin parchear (es decir, iPhones y iPads), podrían obtener acceso y recopilar correos electrónicos de ID de Apple, nombres completos, tokens de autenticación de ID de Apple, información de aplicaciones instaladas, información de WiFi y análisis de registros (incluidos los médicos e información del dispositivo).

La lista completa de Tokarev de días cero de iOS informados incluye:

  • Día 0 en juego (solucionado en iOS 15.0.2): error explotable a través de aplicaciones instaladas por el usuario desde la App Store y que permite el acceso no autorizado a datos confidenciales normalmente protegidos por un aviso de TCC o una caja de arena de la plataforma ($ 100,000 en la página del programa Apple Security Bounty )

  • Nehelper Enumerate Installed Apps 0-day (iOS 15.0): permite que cualquier aplicación instalada por el usuario determine si una aplicación está instalada en el dispositivo según el ID del paquete.

  • Nehelper Wifi Info 0-day (iOS 15.0): permite que cualquier aplicación calificada (por ejemplo, con permiso de acceso a la ubicación) acceda a la información de Wi-Fi sin el permiso requerido.

  • Analyticsd (corregido en iOS 14.7): permite que cualquier aplicación instalada por el usuario acceda a los registros de análisis.

"Hemos visto la publicación de su blog relacionada con este problema y sus otros informes. Nos disculpamos por la demora en responderle", dijo Apple a Tokarev 24 horas después de publicar el código de días cero y exploit en su blog.

"Queremos que sepa que todavía estamos investigando estos problemas y cómo podemos abordarlos para proteger a los clientes. Gracias de nuevo por tomarse el tiempo para informarnos estos problemas, agradecemos su ayuda".

Apple también solucionó una segunda vulnerabilidad de día cero en iOS 15.0.2 y iPadOS 15.0.2, explotada activamente en la naturaleza para atacar iPhones y iPads.

Este error, registrado como CVE-2021-30883, es una falla crítica de corrupción de memoria en IOMobileFrameBuffer, que permite que aplicaciones maliciosas ejecuten comandos en dispositivos vulnerables con privilegios de kernel.

Apple no ha respondido a los correos electrónicos enviados por BleepingComputer desde el 24 de septiembre, solicitando una declaración oficial y más detalles.

¿Qué te ha parecido?

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Subir