iOS 12.4 corrige 4 de las 6 vulnerabilidades de seguridad de iMessage "sin interacción"

Apple es muy consciente de implementar actualizaciones de seguridad, pero, por una razón u otra, algunos usuarios pueden no estar tan entusiasmados con la instalación. Algunos pueden haberse quemado por actualizaciones anteriores que pueden haber causado más problemas de los que arreglaron. Sin embargo, estos usuarios pueden querer actualizar inmediatamente a iOS 12.4 tan pronto como la costa esté despejada. Resulta que la actualización de mantenimiento contiene correcciones al menos para errores de seguridad críticos que, según los investigadores que los descubrieron, podrían haber sido valorados en $ 5 millones o más.

La razón de un valor tan alto para estas bolsas es que estos errores no requieren interacción del usuario para activar. Simplemente necesitan abrir un mensaje con formato incorrecto enviado por un hacker y ya están comprometidos. Este tipo de exploits "sin interacción del usuario" tienen un alto precio en el mercado de los piratas informáticos y, por lo tanto, también obtienen un alto precio entre los cazadores de errores.

Apple maneja un barco apretado, por lo que las exploits como estas a menudo son raras. Sin embargo, resulta que estos seis errores reportados por dos miembros del Proyecto Cero de Google afectan la propia aplicación iMessage o Messages iOS de Apple. Sin embargo, este no es el primero de su tipo, ya que recientemente hubo un error que afectó a Mensajes, así como a otras aplicaciones de mensajería de terceros, causando que se bloqueen después de recibir un solo personaje invisible.

Las vulnerabilidades reportadas por Natalie Silvanovich y su co-investigador, sin embargo, tienen mayores implicaciones de seguridad. Cuatro de ellos habrían permitido la ejecución de código arbitrario cuando se abre el mensaje malicioso. Los otros dos habrían permitido al atacante leer datos del dispositivo sin interacción o conocimiento del usuario.

Los primeros cuatro de los seis se han parcheado en iOS 12.4, pero la existencia de exploits de prueba de concepto significa que los usuarios deben actualizar lo antes posible. Los otros dos errores que filtran datos aún no tienen parches, por lo que los detalles sobre ellos todavía se mantienen a puerta cerrada.

Fuente: Slash Gear