Hay un nuevo día cero, Vulnerabilidad de clic cero en todo tipo de dispositivos Apple, Incluidos los Macs, iPhones, iPads, y WatchOS. La falla se ha llamado FORCEDENTRY.
Relacionado: El estado de la privacidad de Apple hasta ahora en 2021
¿Cómo fue el FORCEDENTRY de Apple? (CVE-2021-30860) divulgación de día cero, y quien lo descubrió?
El día cero fue descubierto por investigadores de Citizen Lab durante un análisis del teléfono de un activista saudí infectado con el software espía Pegasus.. La falla es un exploit de cero clic contra iMessage, orientado a la biblioteca de procesamiento de imágenes de Apple.
Los investigadores pudieron determinar "que la empresa mercenaria de software espía NSO Group utilizó la vulnerabilidad para explotar e infectar de forma remota los últimos dispositivos de Apple con el software espía Pegasus". Se cree que FORCEDENTRY ha estado en uso desde al menos febrero 2021.
The NSO Group es el fabricante de Pegasus, una aplicación avanzada de software espía que fugas de la cárcel o raíces infectadas dispositivos que permiten al software espía que pasan a través de mensajes privados, activar el micrófono y la cámara, y recoger información sensible.
Citizen Lab reveló sus hallazgos, incluyendo el código, a Apple. Después de la divulgación oficial, a la vulnerabilidad se le asignó el identificador CVE-2021-30860. Según su descripción oficial, es un problema que podría llevar al procesamiento de un PDF creado con fines malintencionados y a la ejecución de código arbitrario.
Hasta aquí, solo se facilitan detalles técnicos limitados. Lo que se sabe hasta ahora es que el exploit FORCEDENTRY funciona aprovechando una vulnerabilidad de desbordamiento de enteros en la biblioteca de renderizado de imágenes de Apple. (CoreGraphics).
Afortunadamente, una actualización ya está disponible para CVE-2021-30860. Se insta a los usuarios de Apple a actualizar sus dispositivos de inmediato. Para solucionar el problema, se solucionó un desbordamiento de enteros con una validación de entrada mejorada, el aviso revelado.
No es la primera falla de clic cero de día cero de NSO Group
Cabe señalar que otra vulnerabilidad de clic cero se atribuyó al Grupo NSO en 2019.
La falla permitió a los piratas informáticos comprometer dispositivos utilizando el software espía Pegasus. La vulnerabilidad CVE-2019-3568 fue un desbordamiento de búfer en la pila VOIP de WhatsApp. Se permitió la ejecución remota de código a través de la serie de paquetes especialmente diseñado SRTCP enviado a un número de teléfono de destino.
Vale la pena mencionar que los exploits basados en la falla ocurrieron al llamar a un iPhone vulnerable o un dispositivo Android a través de la función de llamada de WhatsApp.. Además, las llamadas no necesitaban respuesta, y, a menudo desaparecido de registros. Afortunadamente, La falla fue supuestamente fijada.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme:
Entonces, ¿cómo sacamos esto de nuestros teléfonos?????