La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha incorporado este miércoles a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) una vulnerabilidad de severidad media que afecta a varios sistemas operativos de Apple, luego de que se reportara su explotación activa.
Se trata de CVE-2024-27834, con una puntuación CVSS de 5.5, un caso de autenticación incorrecta que permitiría a un atacante con capacidad de lectura y escritura arbitrarias eludir la autenticación de punteros.
Apple corrigió el problema en mayo de 2024 mediante comprobaciones reforzadas en iOS 16.7.8 y iPadOS 16.7.8, iOS 17.5 y iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 y Safari 17.5. La vulnerabilidad se presentó como zero-day en el certamen de hacking Pwn2Own de Vancouver celebrado en marzo de ese mismo año.
La inclusión de CVE-2024-27834 en el catálogo KEV se produce después de que Sekoia informara de que actores de amenazas posiblemente vinculados a Rusia explotaron vulnerabilidades ya parcheadas en Safari y Google Chrome para distribuir malware capaz de recopilar datos del navegador y del dispositivo.
La actividad se atribuye a APT29 (también conocido como Cozy Bear y Midnight Blizzard), un grupo de hackers patrocinado por el Estado y afiliado al Servicio de Inteligencia Exterior de Rusia, con un grado de confianza «de moderado a alto».
Los ataques emplean tres vías de acceso inicial: sitios web legítimos comprometidos, sitios falsos que suplantan a páginas populares y un ataque a la cadena de suministro dirigido a Plerdy SEO Tracker. El objetivo es servir JavaScript malicioso que activa la vulnerabilidad y, tras perfilar el dispositivo del visitante, despliega la carga útil de robo de información.
La cadena de explotación zero-click combina CVE-2025-43529, un fallo de ejecución remota de código en WebKit, y el propio bypass de los códigos de autenticación de punteros (PAC), para ejecutar una carga útil de JavaScript diseñada para robar cookies del navegador.
Ante la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) aplicar los parches necesarios antes del 18 de noviembre de 2026.
Deja una respuesta