Apple ha publicado actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades zero-days que fueron explotadas en ataques a sistemas Mac basados en Intel.

"Apple es consciente de que este problema puede haber sido explotado", dijo la compañía en un comunicado emitido el martes.

Los dos fallos se encontraron en los componentes macOS Sequoia JavaScriptCore (CVE-2024-44308) y WebKit (CVE-2024-44309) de macOS.

El fallo CVE-2024-44308 de JavaScriptCore permite a los atacantes conseguir la ejecución remota de código a través de contenido web malintencionadamente diseñado. El otro fallo, CVE-2024-44309, permite ataques de secuencias de comandos en sitios cruzados (CSS).

La empresa afirma haber solucionado los fallos de seguridad en macOS Sequoia 15.1.1.

Como los mismos componentes se encuentran en otros sistemas operativos de Apple, también se ha corregido en iOS 17.7.2 y iPadOS 17.7.2, iOS 18.1.1 y iPadOS 18.1.1, y visionOS 2.1.1.

Aunque Apple afirma que ambos fallos fueron descubiertos por Clément Lecigne y Benoît Sevens, del Grupo de Análisis de Amenazas de Google, la compañía no ha proporcionado más detalles sobre cómo fueron explotados.

BleepingComputer se puso en contacto con Google para saber cómo se explotaron los fallos, pero le dijeron que no tienen nada más que compartir por el momento.

Con estas dos vulnerabilidades, Apple ha corregido seis zero-days en lo que va de 2024: el primero en enero, dos en marzo y el cuarto en mayo.

Esta cifra es significativamente mejor que la del año pasado, cuando Apple corrigió un total de 20 fallos zero-days explotados en la naturaleza, entre ellos:

• Dos zero-days (CVE-2023-42916 y CVE-2023-42917) en noviembre.

• Dos zero-days (CVE-2023-42824 y CVE-2023-5217) en octubre.

• Cinco zero-days (CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992 y CVE-2023-41993) en septiembre.

• Dos zero-days (CVE-2023-37450 y CVE-2023-38606) en julio.

• Tres zero-days (CVE-2023-32434, CVE-2023-32435 y CVE-2023-32439) en junio.

• Tres zero-days (CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373) en mayo.

• Dos zero-days (CVE-2023-28206 y CVE-2023-28205) en abril.

• Un zero-days de WebKit (CVE-2023-23529) en febrero.

Fuente: bleepingcomputer