El primer día de este mes, Apple publicó una serie de actualizaciones para varios de sus productos, incluyendo una actualización para iOS, alcanzando la versión 11.1, que contiene soluciones para problemas en Siri y Messenger, así como corrige vulnerabilidades de ejecución de código arbitrario en el WebKit del motor de búsqueda del navegador web y en el kernel.
Todo el que tenga un iPhone 5s, iPad Air o posterior puede instalar esta actualización, cosa que recomendamos encarecidamente.
Las grandes noticias son que en esa versión iOS 11.1 también se incluye un parche para la vulnerabilidad de la wifi conocida como ataques KRACK, que está disponible para algunos (no todos) los dispositivos iOS. El CVE que Apple soluciona con este parche es el CVE-2017-13080, uno de los distintos CVEs relacionados con KRACK.
Pero la noticia incluso más grande es lo que Apple no solucionó: una vulnerabilidad día cero de iOS en la wifi (si, otra más) que se dio a conocer el mismo día en la competición anual de hacking Mobile Pwn2Own. No hay muchos detalles pero Zero Day Initiative informa que:
Tencent Keen Security Lab consigue la ejecución de código a través de un bug en la wifi y escala privilegios para persistir mediante un reinicio.
Tencent Keen Security Lab ganó 110.000$ gracias a descubrir esa vulnerabilidad. Ahora Apple tiene 90 días para solucionar el problema antes de que se publiquen los detalles.
Según la documentación oficial de Apple, el parche para KRACK solo afecta a iPhone 7s, iPad Pro 9.7 (principios de 2016) y posteriores.
No sabemos porque el parche para KRACK solo está disponible para los iDispositivos más recientes, es posible que aún estén trabajo en la solución para los dispositivos más antiguos o quizás Apple decidiera que esas versiones antiguas no son vulnerables a KRACK.
Sea cual fuera la razón, si eres un usuarios pre iPhone 7, mantente atento por si aparece una actualización.
Varias actualizaciones de seguridad también se publicaron para MacOS, incluyendo un parche para KRACK, otro para una vulnerabilidad TLS 1.0, varias para vulnerabilidades de acceso a memoria y ejecución de código, otras para vulnerabilidades de Kernel, así como parches relacionados con al menos 90 CVEs.
Los usuarios de El Capitan (macOS 10.11.6) y Sierra (10.12.6) deberían instalar las últimas actualizaciones del sistema operativo (2017-004 para El Capitan, 2017-001 para Sierra). Los usuarios de High Sierra (10.13) deberían actualizar a 10.13.1. Lo sentimos por los usuarios de Yosemite ya que su última actualización fue en julio la 2017-003.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
