CVE-2024-23204 Vulnerabilidad de accesos directos de Apple

Ha surgido información sobre una vulnerabilidad de seguridad de alta gravedad previamente parcheada en la aplicación Atajos de Apple, que podría habilitar un atajo para acceder a datos confidenciales del dispositivo sin el consentimiento del usuario.

La falla de seguridad, identificada como CVE-2024-23204 con una puntuación CVSS de 7,5, fue solucionada por Apple el 22 de enero de 2024 mediante el lanzamiento de iOS 17.3, iPadOS 17.3, macOS Sonoma 14.3 y watchOS 10.3.

Apple explicó en un aviso que un acceso directo podría haber podido utilizar datos confidenciales sin que el usuario se lo pidiera, y esto se rectificó mediante la implementación de "verificaciones de permisos adicionales".

La aplicación Atajos es una herramienta de secuencias de comandos que permite a los usuarios crear flujos de trabajo personalizados en iOS, iPadOS, macOS y watchOS. Viene preinstalado en estos sistemas operativos.

La vulnerabilidad ofrece un grave potencial malicioso

Los investigadores destacaron el potencial uso de la falla como arma para crear un atajo malicioso capaz de eludir las políticas de Transparencia, Consentimiento y Control (TCC). TCC es un marco de seguridad de Apple diseñado para salvaguardar los datos del usuario al requerir los permisos adecuados.

La vulnerabilidad está específicamente vinculada a una acción de acceso directo llamada "Expandir URL", que puede expandir y limpiar URL acortadas de servicios como t.co o bit.ly, al mismo tiempo que elimina los parámetros de seguimiento UTM.

Al aprovechar esta funcionalidad, fue posible transmitir datos de una foto codificados en Base64 a un sitio web malicioso. Este método implica seleccionar datos confidenciales (como fotos, contactos, archivos y datos del portapapeles) dentro de los accesos directos, importarlos, convertirlos usando la opción de codificación base64 y, finalmente, enviarlos al servidor malicioso.

Los datos exfiltrados luego se capturan y guardan como una imagen por parte del atacante a través de una aplicación Flask, lo que abre la puerta a una posible explotación posterior.