CISA confirma que se explota una falla de Apple de 2024 en iPhone, Mac y Safari

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó el 4 de noviembre a su catálogo de vulnerabilidades explotadas conocidas (KEV) una falla de Apple corregida en mayo de 2024, registrada como CVE-2024-27834. Más de dos años después del parche, CISA la da por explotada, y quien no actualizó el iPhone, el iPad, la Mac o Safari desde entonces sigue expuesto. La versión del catálogo salió a las 20:00 UTC (17:00 en Buenos Aires, San Pablo y Santiago, 16:00 en Caracas, 15:00 en Bogotá y Lima, 14:00 en Ciudad de México) y les da a las agencias federales civiles de Estados Unidos plazo hasta el 18 de noviembre para corregirla.

CISA no explicó en qué se basa. Ese día, la ficha de la falla en NVD, la base de vulnerabilidades del gobierno estadounidense, sumó un informe de Sekoia, empresa francesa de ciberseguridad, que la encontró en una campaña de espionaje contra celulares.

Qué es la falla

En simple, los chips de Apple firman las direcciones de memoria que indican qué código se ejecuta después, una defensa llamada autenticación de punterosautenticación de punteros (PAC) Defensa de los chips de Apple y ARM que firma las direcciones de memoria de un programa para impedir que un atacante desvíe la ejecución hacia su propio código. (PAC). Si un atacante altera una sin la firma correcta, la aplicación se cierra. Esta falla de WebKit, el motor que muestra las páginas web en Safari y en la mayoría de los navegadores del iPhone, permite saltar esa defensa.

En la capa técnica, según el boletín de iOS 17.5, sirve a "un atacante con capacidad arbitraria de lectura y escritura". Por eso NVD y CISA le dan 5,5 sobre 10, severidad media. Sola no alcanza, porque antes hace falta otra falla que dé control de la memoria. En una cadena de ataque es el paso que convierte ese control en ejecución de código.

En Pwn2Own Vancouver, el 20 de marzo de 2024, el investigador Manfred Paul tomó el control de Safari con un desbordamiento de enteroError de cálculo en el que el resultado de una operación supera el valor máximo que puede guardar el tipo de número usado y da la vuelta; si ese valor se usa como tamaño o posición, el programa puede acceder a memoria indebida. y un salto de esa defensa, y ganó 60.000 dólares. Apple le atribuye la falla junto con la Zero Day Initiative de Trend Micro, organizadora del concurso, y BleepingComputer la vinculó con esa demostración.

A quién afecta

Afecta a iOS y iPadOS anteriores a 17.5 y a 16.7.8, macOS Sonoma anterior a 14.5, Safari anterior a 17.5 en macOS Monterey y Ventura, tvOS anterior a 17.5 y watchOS anterior a 10.5, según los boletines de Apple del 13 de mayo de 2024. Los boletines no incluyen la rama iOS 15.

Estado de explotación

Explotada, según CISA. Sekoia atribuye la campaña, "con confianza moderada a alta", a APT29, el grupo ligado a la inteligencia exterior de Rusia. Los atacantes infectaron sitios de Estados Unidos, Ucrania, República Checa y Bulgaria, una técnica conocida como ataque de abrevaderoTécnica en la que el atacante infecta sitios web que suele visitar su público objetivo para atacar a quienes entran, sin tener que contactarlos de forma directa., y durante una semana de fines de agosto alteraron Plerdy, un servicio ucraniano de analítica web que cargan miles de sitios.

Al visitante con un iPhone desactualizado le servían, sin que tocara nada en la pantalla, una cadena que combina CVE-2025-43529 con esta falla para robarle las cookies, los datos que mantienen abiertas las sesiones del correo y otros servicios. Según Sekoia, funciona de iOS 16.0 a 17.4, y "un usuario con el sistema operativo actualizado está a salvo".

Qué hacer

Entrar en Configuración, luego General y Actualización de software, e instalar la última versión disponible, en el iPhone, el iPad, el Apple TV y el Apple Watch (en la Mac, el menú es Configuración del Sistema). Los iPhone 8 y X, que no pasan de iOS 16, necesitan como mínimo iOS 16.7.8, y las Mac con Monterey o Ventura, Safari 17.5 o posterior.

A quien siguió con un iPhone en iOS 17.4 o anterior le conviene cerrar las sesiones abiertas del correo y otros servicios y cambiar las contraseñas, porque lo que roba la cadena son justamente las cookies de esas sesiones.

Ficha técnica

CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2024-27834, publicado en NVD el 14 de mayo de 2024.

CVSS: 5,5 (media) según NVD y CISA, con vector CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N.

CWE: CWE-287, autenticación incorrecta, según CISA. NVD no le asigna una categoría.

Componente: WebKit (WebKit Bugzilla 272750).

Versiones corregidas: iOS y iPadOS 17.5, iOS y iPadOS 16.7.8, macOS Sonoma 14.5, Safari 17.5, tvOS 17.5 y watchOS 10.5.

Avisos del fabricante: boletines de Apple del 13 de mayo de 2024 para Safari 17.5, iOS 16.7.8, tvOS 17.5, watchOS 10.5, macOS Sonoma 14.5 e iOS 17.5.

Descubrimiento: Manfred Paul con la Zero Day Initiative de Trend Micro, en Pwn2Own Vancouver 2024.

Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: 4 de noviembre de 2026, con plazo para las agencias federales civiles de Estados Unidos hasta el 18 de noviembre.