Días después de Google, Apple revela un exploit de día cero en el motor del navegador

Apple ha solucionado una falla de día cero explotada activamente en su motor de navegador WebKit para Safari.

El error asignado como CVE-2024-23222viene de un Error de confusión de tipoque es básicamente lo que sucede cuando una aplicación asume incorrectamente que la entrada que recibe es de cierto tipo sin validarla realmente, o validarla incorrectamente.

Explotado activamente

Apple describió ayer la vulnerabilidad como algo que un atacante podría aprovechar para ejecutar código arbitrario en los sistemas afectados. «Apple está al tanto de un informe que indica que este problema puede haber sido explotado», decía el aviso, sin proporcionar más detalles.

La empresa publicó versiones actualizadas de iOS, iPadOS, macOS, iPadOS y tvOS con comprobaciones de validación adicionales para abordar la vulnerabilidad.

CVE-2024-23222 es la primera vulnerabilidad de día cero revelada por Apple en WebKit en 2024. El año pasado, la compañía reveló un total de 11 errores de día cero en la tecnología, la mayor cantidad jamás vista en un solo año calendario. Desde 2021, Apple ha revelado un total de 22 errores de día cero de WebKit, lo que subraya el creciente interés en el navegador tanto por parte de investigadores como de atacantes.

Paralelamente, la divulgación de Apple del nuevo WebKit de día cero sigue a la divulgación de Google la semana pasada. Día cero en Chrome. Es al menos la tercera vez en los últimos meses que ambos proveedores revelan días cero en sus respectivos navegadores muy cerca uno del otro. La tendencia sugiere que investigadores y atacantes buscan casi por igual vulnerabilidades en ambas tecnologías, probablemente porque Chrome y Safari son también los navegadores más utilizados.

El peligro del espionaje

Apple no ha revelado el tipo de actividad de explotación dirigida al error de día cero recién descubierto. Sin embargo, los investigadores han informado que los proveedores comerciales de software espía están abusando de algunos de los programas más nuevos de la compañía para instalar software de vigilancia en los iPhone de los objetivos.

En septiembre de 2023, el Citizen Lab de la Universidad de Toronto advirtió a Apple sobre esto dos vulnerabilidades de día cero sin clic en iOS que un proveedor de software de vigilancia aprovechó para instalar la herramienta de software espía Predator en un iPhone perteneciente a un empleado de una organización con sede en Washington, DC. Ese mismo mes, los investigadores de Citizen Lab también informaron sobre una cadena separada de exploits de día cero, que incluía una falla de Safari, que habían descubierto y que apuntaba a dispositivos iOS.

Google ha planteado preocupaciones similares sobre Chrome en algunas ocasiones recientemente, casi en paralelo con Apple. Por ejemplo, en septiembre de 2023, casi al mismo tiempo que Apple reveló sus errores de día cero, los investigadores del grupo de análisis de amenazas de Google identificaron una empresa de software comercial llamada Intellexa que estaba desarrollando una cadena de exploits, que incluía un error de día cero de Chrome (CVE-2023-4762) – para instalar Predator en dispositivos Android. Unos días antes, Google anunció otro día cero en Chrome (CVE-2023-4863) en la misma biblioteca de procesamiento de imágenes donde Apple lanzó un día cero.

Lionel Litty, arquitecto jefe de seguridad de la firma de seguridad de navegadores Menlo Security, dijo que es difícil decir si existe una conexión entre Google y el primer navegador de días cero de Apple para 2024, dada la limitada información disponible actualmente. «Chrome CVE estaba en el motor JavaScript (v8) y Safari usa un motor JavaScript diferente», dice Litty. «Sin embargo, no es raro que diferentes implementaciones tengan deficiencias muy similares».

Una vez que los atacantes descubren una vulnerabilidad en un navegador, se sabe que espían otros navegadores en la misma área, dice Litty. «Aunque es poco probable que se trate exactamente de la misma vulnerabilidad, no sería demasiado sorprendente si hubiera un ADN común entre los dos exploits en la naturaleza».

Explosión de ataques de phishing basados ​​en navegador en una hora

Los proveedores de monitoreo están lejos de ser los únicos que intentan explotar las vulnerabilidades de los navegadores y de los navegadores en general. Según un próximo informe de Menlo Security, hubo un aumento del 198 % en los ataques de phishing basados ​​en navegador en la segunda mitad de 2023 en comparación con los primeros seis meses del año. Los ataques evasivos (una categoría que Menlo describe como el uso de técnicas para eludir los controles de seguridad tradicionales) aumentaron aún más, un 206 %, representando el 30 % de todos los ataques basados ​​en navegadores en la segunda mitad de 2023.

Durante un período de 30 días, Menlo dijo que observó más de 11.000 ataques de phishing basados ​​en navegador de los llamados «hora cero» que pudieron eludir Secure Web Gateway y otras herramientas de detección de amenazas a terminales.

«El navegador es la aplicación empresarial sin la que las empresas no pueden vivir, pero se ha quedado atrás en lo que respecta a seguridad y capacidad de gestión», afirmó Menlo en el próximo informe.