Investigadores de seguridad del Instituto de Tecnología de Georgia y la Universidad de Ruhr Bochum descubrieron dos vulnerabilidades de canal lateral en dispositivos con chips de marca Apple del año 2021 en adelante que podrían exponer información sensible a los atacantes. Específicamente, las vulnerabilidades conocidas como SLAP y FLOP recopilan información de tarjetas de crédito, ubicaciones y otros datos personales. Los datos pueden ser recopilados de sitios como iCloud Calendar, Google Maps, y Proton Mail a través de Safari y Chrome.
Hasta el 28 de enero, Apple está al tanto de las vulnerabilidades.
“Según nuestro análisis, no creemos que este problema represente un riesgo inmediato para nuestros usuarios”, dijo un representante de Apple a ArsTechnica. Según los investigadores, Apple planea lanzar un parche en un momento no revelado.
Los investigadores no han encontrado evidencia de actores amenazantes utilizando estas vulnerabilidades.
¿Qué dispositivos Apple se ven afectados?
Todos los portátiles Mac desde 2022 hasta la actualidad (MacBook Air, MacBook Pro).
Todos los ordenadores de sobremesa Mac desde 2023 hasta la actualidad (Mac Mini, iMac, Mac Studio, Mac Pro).
Todos los modelos de iPad Pro, Air y Mini desde septiembre de 2021 hasta la actualidad (Pro 6th y 7th gen., Air 6th gen., Mini 6th gen.).
Todos los iPhones desde septiembre de 2021 hasta la actualidad (todos los modelos de iPhone 13, 14, 15 y 16, SE 3rd gen.).
¿Cuáles son las vulnerabilidades SLAP y FLOP?
Ambas vulnerabilidades se basan en la ejecución especulativa, una técnica de ciberataque que utiliza señales indirectas como el consumo de energía, el tiempo y los sonidos para extraer información que de otro modo sería secreta. Los chips contemporáneos de Apple permiten ataques de ejecución especulativa de forma inadvertida porque utilizan predictores que optimizan el uso de la CPU mediante la “especulación”. En el caso de SLAP, predicen la siguiente dirección de memoria desde la cual la CPU recuperará datos. En FLOP, predicen el valor de datos devuelto por el subsistema de memoria en el siguiente acceso por el núcleo de la CPU.
SLAP permite a un atacante lanzar un ataque de extremo a extremo en el navegador web Safari en dispositivos con chips M2/A15. Desde Safari, el atacante podría acceder a correos electrónicos y ver lo que el usuario ha estado navegando.
FLOP permite a los actores amenazantes ingresar a los navegadores web Safari y Chrome en dispositivos con chips M3/A17. Una vez dentro, podrían leer el historial de ubicaciones del dispositivo, eventos del calendario y la información de la tarjeta de crédito almacenada.
Vea: La empresa china DeepSeek lanzó el chatbot de IA más popular en la App Store esta semana, antes que OpenAI.
“Existen medidas de hardware y software para garantizar que dos páginas web abiertas estén aisladas entre sí, evitando que una de ellas (maliciosamente) lea el contenido de la otra”, escribieron los investigadores Jason Kim, Jalen Chuang, Daniel Genkin y Yuval Yarom en su sitio de Georgia Tech sobre SLAP y FLOP. “SLAP y FLOP rompen estas protecciones, permitiendo que las páginas de los atacantes lean datos confidenciales protegidos por contraseña de las páginas web objetivo. En nuestro trabajo, mostramos que estos datos van desde el historial de ubicaciones hasta la información de la tarjeta de crédito.”
La investigación destaca el peligroso potencial de los ataques de canal lateral, de los cuales SLAP y FLOP se aprovechan. Los ataques de canal lateral son difíciles de detectar o mitigar porque se basan en propiedades inherentes al hardware.
En marzo de 2024, el silicio de Apple sufrió otro ataque de canal lateral llamado GoFetch.
Cobertura de seguridad imprescindible
¿Qué pueden hacer los usuarios sobre las vulnerabilidades?
Los usuarios no pueden aplicar mitigaciones a estas vulnerabilidades, ya que las vulnerabilidades se encuentran en el hardware.
“Apple nos ha comunicado que planean abordar estos problemas en una próxima actualización de seguridad, por lo tanto es importante habilitar las actualizaciones automáticas y asegurarse de que sus dispositivos estén ejecutando el sistema operativo y las aplicaciones más recientes”, escribieron los investigadores.
TechRepublic se ha puesto en contacto con Apple para obtener más información.