Google reveló el martes el descubrimiento de un puñado de errores ahora parcheados en Apple’s Image I / O, un marco de procesamiento multimedia vital para las plataformas de la empresa.
Descubiertas por el equipo Project Zero de Google y descritas en una publicación el martes, las fallas de Image I / O son candidatos maduros para los vectores de ataque sin clic, informa.
Image I / O se envía con iOS, macOS, watchOS y tvOS, lo que significa que las fallas estaban presentes en cada uno de Appleprincipales plataformas.
Como se señaló en la divulgación de Google, los problemas de E / S de imágenes se remontan a problemas relativamente conocidos relacionados con los analizadores de formato de imagen. Estos marcos especializados son ideales para los piratas informáticos, ya que los activos multimedia mal formados, si se les permite procesar, generalmente tienen la capacidad de ejecutar código en un sistema de destino sin la interacción del usuario.
Project Zero examinó Image I / O mediante un proceso llamado «fuzzing» para ver cómo respondía el marco a los archivos de imagen con formato incorrecto. La técnica fue seleccionada porque Apple restringe el acceso a la mayoría del código fuente de la herramienta.
Los investigadores de Google descubrieron con éxito seis vulnerabilidades en Image I / O y otras ocho en OpenEXR, un «formato de archivo de imagen de alto rango dinámico (HDR)» de terceros que se expone a través de Applemarco de.
«Es probable que, dado el esfuerzo suficiente (y los intentos de explotación concedidos debido al reinicio automático de los servicios), algunas de las vulnerabilidades encontradas puedan explotarse para [remote code execution] en un escenario de ataque 0click «, escribe Samuel Groà ??, investigador de seguridad en Project Zero.
Groà ?? recomienda Apple realizar «pruebas de fuzz» continuas, así como una «reducción agresiva de la superficie de ataque» en las bibliotecas del sistema operativo y las aplicaciones de mensajería, otra vía popular para los ataques basados en multimedia. La última táctica reduciría los formatos de archivo compatibles en nombre de la seguridad.
Apple Se corrigieron las seis fallas de Image I / O en los parches de seguridad lanzados en enero y abril, según el informe.
