La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) agregó la vulnerabilidad CVE-2024-27834, que afecta a varios sistemas operativos de Apple, a su catálogo KEV. Ese catálogo reúne las fallas con explotación activa confirmada. El riesgo recae sobre equipos Apple que siguen sin actualizar, aunque el parche existe desde mayo de 2024.
CVE-2024-27834 tiene una puntuación CVSS de 5.5, es decir, severidad media. Se trata de una falla de autenticación incorrecta. Permite que un atacante con capacidad de lectura y escritura arbitraria en memoria evada la Pointer Authentication (PAC). PAC es una defensa del procesador que firma los punteros de memoria para impedir que un atacante desvíe la ejecución del programa. La falla se demostró como día cero en el concurso Pwn2Own Vancouver de marzo de 2024.
La inclusión en el catálogo sigue a un informe de la firma Sekoia. Según ese informe, actores posiblemente vinculados a Rusia explotaron vulnerabilidades ya corregidas en Safari y Google Chrome para instalar malware que roba datos del navegador y del dispositivo. Sekoia atribuye la actividad, con confianza moderada a alta, a APT29 (también conocido como Cozy Bear o Midnight Blizzard). Este grupo está vinculado al Servicio de Inteligencia Exterior de Rusia.
Los atacantes usaron tres vías de acceso inicial. La primera fueron sitios web legítimos comprometidos. La segunda, sitios falsos que imitan páginas populares. La tercera, un ataque a la cadena de suministro contra Plerdy SEO Tracker, una herramienta de analítica que muchos sitios integran en sus páginas. En los tres casos, el visitante recibe un JavaScript malicioso que perfila su dispositivo y luego activa la cadena de explotación. La cadena es de tipo zero-click: no requiere que la víctima haga clic en nada. Combina CVE-2025-43529, una falla de ejecución remota de código en WebKit (el motor que usa Safari para mostrar páginas web), con una evasión de PAC. El objetivo final es robar las cookies del navegador, que pueden permitir el secuestro de sesiones ya autenticadas.
Apple corrigió CVE-2024-27834 en iOS 16.7.8 y iPadOS 16.7.8, iOS 17.5 y iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 y Safari 17.5. Cualquier equipo con versiones anteriores sigue expuesto. CISA fijó el 18 de noviembre de 2026 como plazo para que las agencias civiles federales de Estados Unidos apliquen los parches. Las empresas deberían actualizar iPhone, iPad y Mac a la versión más reciente disponible, además de Safari y Google Chrome. Conviene revisar también los equipos personales que acceden a recursos corporativos.
Qué significa para tu empresa: este caso muestra que una falla corregida hace dos años sigue siendo útil para un grupo estatal, porque muchos dispositivos nunca se actualizan. Esta semana, verifica el inventario de equipos Apple y navegadores y confirma que todos tengan los parches indicados. Si el robo de cookies tiene éxito, el atacante puede usar sesiones abiertas sin conocer la contraseña. Por eso recomendamos sumar protección de endpoints EDR/XDR en Mac y dispositivos móviles, capaz de detectar comportamientos anómalos del navegador y aislar el equipo antes de que la sesión robada se aproveche.
Fuente original: The Hacker News — ver artículo →