Agencias, Ciudad de México.- Apple ha liberado un parche de seguridad para iOS que corrige una vulnerabilidad que estaba siendo activamente explotada y que permitía la entrada en el dispositivo afectado del ‘malware’ espía Pegasus sin que la víctima tuviera que hacer nada.
La vulnerabilidad identificada en iOS 16.6 (recogida como CVE-2023-41064) estaba siendo activamente explotada con una cadena de explotación que desde The Citizen Lab han denominado ‘BlastPass’.
En concreto, descubrieron una vulnerabilidad en ImageOS que estaba siendo explotada con un ‘malware’ de tipo cero clic, es decir, que no requiere que la víctima pinche en ningún enlace para infectar el dispositivo móvil.
🚨🚨WE URGE EVERYONE TO UPDATE THEIR APPLE DEVICES AS SOON AS POSSIBLE.
We have found an actively exploited #zero #click vulnerability that was used to deliver #NSO group’s #Pegasus #spyware. https://t.co/BS0ZI4QuIz
— The Citizen Lab (@citizenlab) September 7, 2023
Su identificación ocurrió durante la revisión de un dispositivo móvil de un empleado de una organización de la sociedad civil con sede en Washington DC (Estados Unidos), como explican desde Citizen Lab en su blog.
El objetivo era introducir en el iPhone el programa espía Pegasus, de la firma israelí NSO Group, y para ello solo bastaba con el envío de una imagen maliciosa a la cuenta de la víctima en iMessage.
Apple, por su parte, ya ha distribuido un parche que corrige la vulnerabilidad con la versión iOS 16.6.1, que ha extendido a iPadOS 16.6.1.
CVE-2023-41064 and CVE-2023-41061
Affected product(s),verison(s): macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1, watchOS 9.6.2
CVE-2023-41064 is a buffer overflow weakness and CVE-2023-41061 is a validation issue.https://t.co/EdnVT7BgBM pic.twitter.com/uUpgxfXlZt
— Daily Dark Web (@DailyDarkWeb) September 8, 2023