Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2024-23222 Confusión de tipos en Safari

Una confusión de tipos fue corregida con verificaciones mejoradas. Procesar contenido web manipulado maliciosamente puede llevar a ejecución de código arbitrario. Corregido en Safari 17.3, iOS 15.8.7 y iPadOS 15.8.7, iOS 16.7.5 y iPadOS 16.7.5, iOS 17.3 y iPadOS 17.3, macOS Monterey 12.7.3, macOS Sonoma 14.3, macOS Ventura 13.6.4, tvOS 17.3 y visionOS 1.0.2.

Alerta de Nureq Monitor

Detectada 14 OCT · 17:01

CVSS 3.1

8.8ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

10,6 % PERCENTIL 96

EXPLOTACIÓN ACTIVA

Sí DESDE 23/01/2024

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2024-23222

Una confusión de tipos fue corregida con verificaciones mejoradas. Procesar contenido web manipulado maliciosamente puede llevar a ejecución de código arbitrario. Corregido en Safari 17.3, iOS 15.8.7 y iPadOS 15.8.7, iOS 16.7.5 y iPadOS 16.7.5, iOS 17.3 y iPadOS 17.3, macOS Monterey 12.7.3, macOS Sonoma 14.3, macOS Ventura 13.6.4, tvOS 17.3 y visionOS 1.0.2.

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 23 de enero de 2024 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 13 de febrero de 2024. Corregirla es prioritario.

Productos y versiones afectadas

  • Apple Safari

    • hasta antes de 17.3

  • Apple iOS and iPadOS

    • hasta antes de 15.8.7
    • hasta antes de 16.7.5
    • hasta antes de 17.3

  • Apple macOS

    • hasta antes de 12.7.3
    • hasta antes de 13.6.4
    • hasta antes de 14.3

  • Apple tvOS

    • hasta antes de 17.3

  • Apple visionOS

    • hasta antes de 1.0.2

Qué hacer

  1. Verificá si usás Safari y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Requerida
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

A type confusion issue was addressed with improved checks. This issue is fixed in Safari 17.3, iOS 15.8.7 and iPadOS 15.8.7, iOS 16.7.5 and iPadOS 16.7.5, iOS 17.3 and iPadOS 17.3, macOS Monterey 12.7.3, macOS Sonoma 14.3, macOS Ventura 13.6.4, tvOS 17.3, visionOS 1.0.2. Processing maliciously crafted web content may lead to arbitrary code execution. This fix associated with the Coruna exploit was shipped in iOS 17.3 on January 22, 2024. This update brings that fix to devices that cannot update to the latest iOS version.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio jamezx32/CVE-2024-23222.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.