Autor: Seguridad CSIRT-CV

Apple ha publicado otra ronda de parches de seguridad para solucionar tres fallos de Zero-day activamente explotados que afectan a iOS, iPadOS, macOS, watchOS y Safari, con lo que el número total de fallos de Zero-day descubiertos en su software este año asciende a 16.

La lista de vulnerabilidades de seguridad es la siguiente

• • • CVE-2023-41991 – Un problema de validación de certificados en el marco de seguridad que podría permitir a una aplicación maliciosa eludir la validación de firmas.
    • CVE-2023-41992 – Un fallo de seguridad en el Kernel que podría permitir a un atacante local elevar sus privilegios.
    • CVE-2023-41993 – Un fallo de WebKit que podría dar lugar a la ejecución de código arbitrario al procesar contenido web especialmente diseñado.

Apple no proporcionó más detalles, salvo el reconocimiento de que el «problema puede haber sido explotado activamente contra versiones de iOS anteriores a iOS 16.7».

Recursos afectados

      Versiones de iOS anteriores a iOS 16.

Recomendaciones

 

Las actualizaciones están disponibles para los siguientes dispositivos y sistemas operativos.

• • • iOS 16.7 y iPadOS 16.7 – iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air de 3ª generación y posteriores, iPad de 5ª generación y posteriores, y iPad mini de 5ª generación y posteriores.
    • iOS 17.0.1 y iPadOS 17.0.1 – iPhone XS y posteriores, iPad Pro de 12,9 pulgadas de segunda generación y posteriores, iPad Pro de 10,5 pulgadas, iPad Pro de 11 pulgadas de primera generación y posteriores, iPad Air de tercera generación y posteriores, iPad de sexta generación y posteriores, iPad mini de quinta generación y posteriores
    • macOS Monterey 12.7 y macOS Ventura 13.6
    • watchOS 9.6.3 y watchOS 10.0.1 – Apple Watch Series 4 y posteriores
    • Safari 16.6.1 – macOS Big Sur y macOS Monterey

Referencias

• • • https://thehackernews.com/2023/09/apple-rushes-to-patch-3-new-zero-day.html
    • https://support.apple.com/en-us/HT213927
    • https://support.apple.com/en-us/HT213926
    • https://support.apple.com/en-us/HT213932
    • https://support.apple.com/en-us/HT213931
      
    • https://support.apple.com/en-us/HT213929
    • https://support.apple.com/en-us/HT213928
    • https://support.apple.com/en-us/HT213930

Se ha reportado una vulnerabilidad de severidad alta que afecta al core de Drupal, cuya explotación podría permitir una escalada de privilegios.

Esta vulnerabilidad afecta únicamente a páginas web con el módulo JSON:API habilitado, ya que dicho módulo mostrará trazas de errores que en algunas configuraciones podría hacer que la información sensible se almacene en caché (cache poisoning) y se ponga a disposición de usuarios anónimos, dando lugar a una escalada de privilegios.

Recursos afectados

    Core de Drupal, versiones:

•         desde 8.7.0 hasta anteriores a 9.5.11;
•         desde 10.0 hasta anteriores a 10.0.11;
•         desde 10.1 hasta anteriores a 10.1.4.

    Drupal 7 no está afectado.

Recomendaciones

    Instalar la última versión:

•         Drupal 10.1, actualizar a 10.1.4;
•         Drupal 10.0, actualizar a 10.0.11;
•         Drupal 9.5, actualizar a 9.5.11

    Todas las versiones de Drupal 9 anteriores a la 9.5, junto con Drupal 8, están en fase EoL y no reciben actualizaciones de seguridad.

Referencias

• https://www.drupal.org/project/drupal/releases/10.1.4
• https://www.drupal.org/project/drupal/releases/10.0.11
• https://www.drupal.org/project/drupal/releases/9.5.11
• https://www.drupal.org/sa-core-2023-006
• https://www.incibe.es/incibe-cert/alerta-temprana/avisos/vulnerabilidad-de-escalada-de-privilegios-en-el-core-de-drupal

Google ha publicado una actualización para parchear una vulnerabilidad que está siendo explotada actualmente.

Análisis

• • CVE-2023-4863:

Desbordamiento del búfer de montón en WebP que podría dar lugar a la ejecución de código arbitrario o a un bloqueo. Google es consciente de que existe un exploit para esta vulnerabilidad.

Recursos afectados

• • Versiones anteriores a 116.0.5845.187 para Mac y Linux
  • Versiones anteriores a 116.0.5845.187/.188 para Windows

Recomendaciones

• • Actualice a 116.0.5845.187 para Mac y Linux
  • Actualice a 116.0.5845.187/.188 para Windows

Referencias

• • • https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
    • https://nvd.nist.gov/vuln/detail/CVE-2023-4863
     

Apple lanzó el jueves actualizaciones de seguridad de emergencia para iOS, iPadOS, macOS y watchOS para abordar dos fallas de día cero que han sido explotadas en la naturaleza para entregar el software espía mercenario Pegasus de NSO Group.

Análisis

Los problemas se describen a continuación:

• • CVE-2023-41061 : un problema de validación en Wallet que podría provocar la ejecución de código arbitrario al manejar un archivo adjunto creado con fines malintencionados.
  • CVE-2023-41064 : un problema de desbordamiento del búfer en el componente de E/S de imagen que podría provocar la ejecución de código arbitrario al procesar una imagen creada con fines malintencionados.

Recursos afectados

• • iOS 16.6.1 y iPadOS 16.6.1 : iPhone 8 y posteriores, iPad Pro (todos los modelos), iPad Air de 3.ª generación y posteriores, iPad de 5.ª generación y posteriores, y iPad mini de 5.ª generación y posteriores
  • macOS Ventura 13.5.2 : dispositivos macOS que ejecutan macOS Ventura
  • watchOS 9.6.2 – Apple Watch Series 4 y posteriores

Recomendaciones

Aplicar las actualizaciones disponibles para los dispositivos y sistemas operativos descritos en el punto anterior.

Referencias

• • • https://thehackernews.com/2023/09/apple-rushes-to-patch-zero-day-flaws.html
    • https://thehackernews.com/2023/04/nso-group-used-3-zero-click-iphone.html