Ya está disponible la última actualización de Apple, que incluye una amplia gama de parches de seguridad para todos los dispositivos compatibles oficialmente con Apple.
Hay correcciones para iOS, iPadOS, tvOS y watchOS, junto con parches para las tres versiones compatibles de macOS, e incluso una actualización especial del firmware del monitor externo Studio Display de Apple.
Al parecer, si estás ejecutando macOS Ventura y has conectado tu Mac a un Studio Display, no basta con actualizar el propio sistema operativo Ventura para protegerte frente a posibles ataques a nivel de sistema.
Según el boletín de Apple, un error en el propio firmware de la pantalla podría ser aprovechado por una aplicación que se ejecute en tu Mac “para ejecutar código arbitrario con privilegios del kernel”.
Cuidado viajeros
Suponemos que, si ahora mismo estás de viaje con tu Mac, es posible que no puedas conectarte a tu pantalla durante un tiempo. Momento en el que algún delincuente emprendedor podría haber trabajado hacia atrás a partir de los parches, o podría haberse publicado un exploit de prueba de concepto.
No sabemos cómo (ni siquiera si puedes) descargar el parche de la Pantalla de visualización para instalarlo sin conexión más tarde, cuando llegues a casa.
Así que: si solo puedes parchear tu pantalla dentro de unos días o semanas; porque tienes que conectar tu Mac parcheado a tu pantalla vulnerable para actualizarla; y suponiendo que necesites conectarte a Internet para completar la actualización quizá quieras aprender a arrancar tu Mac en el llamado Modo Seguro, y actualizar desde ahí.
En Modo Seguro, se carga un conjunto mínimo de software del sistema y aplicaciones de terceros, reduciendo así lo que se conoce como tu superficie de ataque hasta que hayas completado el parche.
Irónicamente, aunque inevitable, la mayoría de los complementos de seguridad de terceros no se inician en Modo Seguro, por lo que un enfoque alternativo es simplemente arrancar con el mayor número de aplicaciones no relacionadas con la seguridad desactivadas, para que no se inicien automáticamente cuando inicies sesión.
Puedes desactivar temporalmente el inicio automático de aplicaciones en segundo plano en el menú Configuración > General > Elementos de inicio de sesión.
Un día cero, pero muchos otros fallos
La buena noticia, por lo que podemos ver, es que solo hay un fallo de día cero en este lote de actualizaciones: CVE-2023-23529 en WebKit.
Esta vulnerabilidad, que permite a los atacantes implantar malware en tu dispositivo iOS 15 o iPadOS 15 sin que te des cuenta, aparece en la lista con las palabras: “Apple tiene conocimiento de un informe que indica que este problema puede haber sido explotado activamente”.
Afortunadamente, este fallo solo aparece como día cero en el boletín de seguridad de iOS 15.7.4 y iPadOS 15.7.4, lo que significa que los iDevices, Macs, TVs y Apple Watches más recientes parecen estar a salvo de éste.
La mala noticia, como de costumbre, es que, se ha corregido una amplia gama de fallos que esperemos haber encontrado antes que los ciberdelincuentes para todos los demás sistemas operativos de Apple, incluidas vulnerabilidades que teóricamente podrían explotarse para:
- Ejecución remota de código a nivel del kernel, por la que los atacantes podrían hacerse con el control de todo tu dispositivo y acceder potencialmente a todos los datos de las aplicaciones que quisieran, en lugar de limitarse a inmiscuirse en una aplicación individual y sus datos.
- Robo de datos provocado por una invitación de calendario maliciosa.
- Acceso a datos Bluetooth después de que tu dispositivo reciba un paquete Bluetooth con trampa.
- Descargas de archivos que eluden las habituales comprobaciones de cuarentena de Gatekeeper de Apple, algo parecido a la reciente elusión de SmartScreen en Windows causada por un error en el sistema similar Mark of the Web de Microsoft.
- Acceso no autorizado a tu Álbum de Fotos Oculto, causado por un fallo en la aplicación Fotos.
- Rastrearte furtiva e incorrectamente en Internet después de que hayas navegado a un sitio web trampa.
¿Qué hacer?
Las actualizaciones que necesitas, los boletines que las describen y los números de versión que debes buscar para asegurarte de que has actualizado correctamente, son los siguientes:
- HT213670: macOS Ventura pasa a 3.
- HT213677: macOS Monterey pasa a 6.4.
- HT213675: macOS Big Sur pasa a 7.5.
- HT213671: Safari pasa a 4 (esta actualización se incluye con los parches Ventura, pero debes instalarla por separado si utilizas Monterey o Big Sur).
- HT213676: iOS 16 y iPadOS 16 pasan a 4.
- HT213673: iOS 15 y iPadOS 15 pasan a 7.4.
- HT213674: tvOS pasa a 4.
- HT213678: watchOS pasa a 4.
- HT213672: el Firmware de Studio Display pasa a 4.
En los iDevices, ve a Ajustes > General > Actualización de Software para comprobar si estás al día, y para activar una actualización si no lo estás.
En los Mac, es casi lo mismo, salvo que abres el menú Apple y eliges Ajustes del Sistema… para empezar, seguido de General > Actualización de Software.
¡Consíguelas mientras estén frescas!