Apple corrige silenciosamente iOS zero-day y pide a los reporteros de errores que permanezcan en silencio

Con el lanzamiento de iOS 15.0.2 el lunes, Apple corrigió tácitamente una vulnerabilidad «falsa» de día cero, un agujero de seguridad que podría permitir a los atacantes acceder a datos confidenciales de los usuarios.

La empresa ha solucionado el error. sin reconocer o reconocer al desarrollador de software Denis Tokarev para el descubrimiento, a pesar de informar el error siete meses antes del lanzamiento de iOS 15.0.2.

No acreditar los informes de errores

En julio, Apple también corrigió tácitamente un error de día cero ‘analítico’ con el lanzamiento del 14/7 sin mencionar a Tokarev en la advertencia de seguridad, y en cambio prometió tomar nota de su informe en las advertencias de seguridad para una próxima actualización.

Desde entonces, Apple ha publicado varios avisos de seguridad (iOS 14.7.1, iOS 14.8, iOS 15.0 e iOS 15.0.1) que abordan las vulnerabilidades de iOS, pero cada vez fallaron en acreditar su informe de errores analíticos.

«Debido a un problema de procesamiento, su crédito se incluirá en la información de seguridad en una próxima actualización. Nos disculpamos por las molestias», dijo Apple cuando se le preguntó por qué la lista de errores de seguridad de iOS corregidos no incluía su día cero.

Hace dos días, tras el lanzamiento de iOS 15.0.2, Tokarev volvió a enviar un correo electrónico sobre la falta de reconocimiento del juego y los errores de análisis en los avisos de seguridad. Apple respondió y le pidió que mantuviera la confidencialidad del contenido de sus intercambios de correo electrónico.

Esta no sería la primera vez que el equipo de seguridad de Apple solicita confidencialidad: la primera vez sucedió en agosto cuando le dijeron que el día cero del juego se arreglaría en una futura actualización de seguridad y le pidieron que no hiciera público el error.

«En general, tratan las vulnerabilidades en los juegos un poco mejor que en el análisis, al menos no me ignoran y no me mienten esta vez», dijo Tokarev a BleepingComputer.

Otros cazarrecompensas de errores e investigadores de seguridad también han informado que han tenido experiencias similares al informar vulnerabilidades al equipo de seguridad de productos de Apple a través del Programa de recompensas de seguridad de Apple.

Algunos han dicho que Apple ha estado arreglando silenciosamente los errores reportados sin el reconocimiento de la compañía, como lo hizo en este caso.

Otros no recibieron la cantidad indicada en la página oficial de recompensas de Apple. [1, 2] o no recibió ningún pago mientras algunos permanecieron en la oscuridad Meses al final sin respuestas a sus correos electrónicos.

Dos días cero hasta que se aplique el parche (amamantamiento)

En total, Tokarev encontró cuatro días cero de iOS y los informó a Apple entre el 10 de marzo y el 4 de mayo. En septiembre, lanzó un código de explotación de prueba de concepto y detalles de todas las vulnerabilidades de iOS después de que la compañía lo jugó después de parchear el día cero en julio.

Cuando los atacantes encuentran las cuatro vulnerabilidades en dispositivos iOS sin parchear (información médica y del dispositivo).

La lista completa de días cero de iOS informados por Tokarev incluye:

• Gamed 0-day (corregido en iOS 15.0.2): error que pueden aprovechar las aplicaciones instaladas por el usuario desde la App Store y que otorga acceso no autorizado a datos confidenciales que normalmente están protegidos por un mensaje de TCC o el sandbox de la plataforma ($ 100,000 en el lado del Programa de recompensas de seguridad de Apple)
• Nehelper Enumerate Installed Apps 0-day (iOS 15.0): permite que todas las aplicaciones instaladas por el usuario utilicen el ID del paquete para determinar si una aplicación está instalada en el dispositivo.
• Nehelper Wifi Info 0-day (iOS 15.0): permite que todas las aplicaciones que califiquen (por ejemplo, con autorización de acceso a la ubicación) accedan a la información de Wifi sin la autorización requerida.
• Analyticsd (en iOS 14.7) fijo: permite que cualquier aplicación instalada por el usuario acceda a los registros de análisis.

«Vimos la publicación de su blog sobre este tema y sus otros informes. Nos disculpamos por la demora en responder», dijo Apple a Tokarev 24 horas después de publicar el código de día cero y exploit en su blog.

«Queremos que sepa que todavía estamos investigando estos problemas y cómo podemos abordarlos para proteger a nuestros clientes. Gracias nuevamente por tomarse el tiempo para informarnos sobre estos problemas, y agradecemos su apoyo».

Apple también solucionó una segunda vulnerabilidad de día cero en iOS 15.0.2 y iPadOS 15.0.2 que se está explotando activamente en la naturaleza para atacar iPhones y iPads.

Este error, registrado como CVE-2021-30883, es un error crítico de corrupción de memoria IOMobileFrameBuffer que permite que aplicaciones maliciosas ejecuten comandos en dispositivos vulnerables con privilegios de kernel.

Apple no ha respondido a los correos electrónicos de BleepingComputer desde el 24 de septiembre, solicitando comentarios oficiales y más detalles.