El fallo (CVE-2016-4631) se encuentra presente en ImageIO - API utilizada para manejar los datos de la imagen - y funciona en todos los sistemas operativos utilziados actualmente por Apple, incluyendo Mac OS X, tvOS y watchOS.
Así, que si tienes algún dispositivo Apple, deberías seguir leyendo...
Tyler Bohan, un investigador de Cisco Talos, ha descubierto este error en iOS similar a Stagefright en Android y lo ha calificado de "extremandamente critico, comparable al nivel de Stagefright en Android, por la exposición que tiene".
Todo lo que el atacante tiene que hacer es crear un exploit para el error y enviarlo a través de un mensaje multimedia ( MMS) o de iMessage dentro de un TIFF ( Tagged Image File Format).
Una vez que el mensaje es recibido por el dispositivo de la victima, comienza el hack.
"El receptor de un MMS no puede prevenir cuando le llega, por lo que puedo enviar hoy el exploit y lo recibirás cada vez que el teléfono está en línea" - Tyler Bohan.
El ataque también se puede dar a través del navegador Safari. Para ello, el atacante debe convencer a la víctima de que visite una pagina en la que este cargado el código malicioso.
En cualquiera de los casos, no es necesaria la interacción explicita del usuario para comenzar el ataque ya que muchas aplicaciones (como iMessage) intentarán renderizar automáticamente las imágenes que reciben a sus configuraciones por defecto.
Muy dificil es para la víctima detectar el ataque en caso de que se ejecute y, con ello, aumentan las posibilidades de robo de datos personales, bancarios, contraseñas de sitios web, de tu Wi-Fi particular, las contraseñas de tu correo...
Desde que iOS incluye la denominada como sandbox protection (o protección de caja de arena), los piratas informáticos tienen que controlar todo el dispositivo mediante un jailbreak del sistema o controlar el iPhone de forma total ya que esta impide que únicamente tomen el control de una parte. En cambio, Mac OS X no cuenta con este tipo de protección por lo cual es vulnerable a que un atacante acceda de forma remota a el...
Apple ha parcheado este problema tan critio con la version 9.3.3 de iOS junto con parches para otras 42 vulnerabilidades, incluyendo errores en la memoria CoreGraphics de iOS "que ayuda a representar graficos 2D" - de acuerdo con la nota publciada por Apple.
TAmbién ha acabado con el grave fallo que tenía FaceTime tanto en iOS como OS X , el cual permitía que cualquier persona conectada a la misma red Wi-Fi que el usuario espiase la transmisión de audio de las llamadas de FaceTime y siguiese "escuchando" aun cuando estas habían acabado.
"Un atacante en una posición privilegiada de acceso a la red podría hacer que tras una llamada continuase la transmisión de audio, mientras que aparece como si la llamada hubiese terminado" - se lee en la descripción de Apple .
Por esto es recomendable aplicar los parches de seguridad que se van publicando, ya que de esta forma no le das tiempo a los ciberdelincuentes a aprovecharse de las vulnerabilidades y, más ahora que se conocen.
Fuente | The Hacker News