Actualización vulnerabilidades Zero-Day en iOS

Fecha de publicación: 24/04/2020

Nivel de peligrosidad: CRÍTICO

El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, avisa de la actualización de su publicación de dos vulnerabilidades Zero-Day en iOS.

Investigadores de seguridad han notificado una serie de vulnerabilidades Zero-Day en la aplicación de correo nativa de iOS, MobileMail o, en su caso, Maild, que podrían permitir a los atacantes la ejecución de código de forma remota a través del envío de un correo electrónico especialmente diseñado al buzón del usuario objetivo. Los investigadores han señalado que, en combinación con una vulnerabilidad adicional en el kernel, la cual aún se encuentra bajo investigación,los atacantes podrían acceder, filtrar, editar y eliminar correos electrónicos.

En particular, se ha detectado la explotación activa de dos vulnerabilidades 0-Day ocasionadas por un fallo en la implementación de la función MFMutableData en la librería MIME. La primera vulnerabilidad se debe a que la librería afectada carece de verificación de errores en la llamada al sistema ftruncate(), lo que puede derivar en una escritura fuera de los límites. Si bien, los investigadores descubrieron que es posible activar la OOB-Write (escritura fuera de los límites) sin que sea necesario que se llegue a producir el fallo en la llamada al sistema ftruncate().

La segunda vulnerabilidad detectada consiste en un desbordamiento de la memoria, que se puede activar de forma remota, ocasionado por una incorrecta reasignación dentro de la misma función, MFMutableData.

Para una explotación existosa, el atacante tan solo tendría que enviar un correo electrónico especialmente diseñado a la víctima, sin ser requerida interacción alguna por parte de ésta. Además, a excepción de una ralentización temporal del servicio, el usuario no percibe comportamiento anómalo adicional, por lo que sería incapaz de percatarse del ataque.

Por el momento, las vulnerabilidades no han recibido identificador CVE ni se encuentran registradas en la base de datos del NIST, por lo que no han sido analizadas ni cuentan con puntuación en base a la escala CVSSv3. No obstante, teniendo en cuenta las evidencias de explotación activa, la posibilidad de ataque de forma remota sin interacción por parte de la víctima, la disponibilidad de los detalles técnicos y prueba de concepto (PoC), y la ausencia de parche que las solucione, las vulnerabilidades han sido calificadas como críticas.

Recursos afectados:

Todas las versiones de iOS a partir de la versión 6 son vulnerables, a excepción de iOS 13.4.5 beta 2 lanzada el pasado 15 de abril. No obstante, se desconoce a ciencia cierta si las versiones anteriores a iOS 6 también se ven afectadas, ya que las investigaciones se interrumpieron en esta.

La explotación es diferente en función de las versiones:

• En iOS 13, no es requerida la intervención del usuario.
• Mientras que, en iOS 12, los usuarios deben hacer clic en el correo dañino.

Además, en la explotación exitosa de las vulnerabilidades intervienen las especificaciones de hardware, dado que los dispositivos más antiguos tienen RAM física más pequeña y un espacio de memoria virtual más pequeño, lo que facilitará la explotación de los fallos.

Solución a la vulnerabilidad:

Por el momento, aunque Apple está trabajando en solucionar la vulnerabilidad, no existe parche disponible. En la versión iOS 13.4.5 beta 2, cuya versión estable aún no se encuentra disponible, se han corregido las vulnerabilidades.

Recomendaciones:

El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.

Por el momento, el fabricante no ha publicado medidas de mitigación alternativas mientras que trabaja en un parche para solucionar la vulnerabilidad. En este caso, se recomienda deshabilitar la aplicación de correo de iOS y utilizar aplicaciones de mensajería alternativas.

En caso de no poder deshabilitar la aplicación de correos de iOS, se recomienda utilizar los indicadores de compromiso ofrecidos por los investigadores para así bloquear posibles mensajes dañinos futuros:

• AAAAATEy AND EA\r\nAABI
• T8hlGOo9 AND OKl2N\r\nC AND AAAAAAAA
• 3r0TRZfh AND AAAAAAAA
• \n/s1Caa6 AND J1Ls9RWH
• ://44449
• ://84371
• ://87756
• ://94654

Referencias:

• blog.zecops.com