Apple lanzó iOS 27.2.1, una actualización que corrige nueve fallas de seguridad, entre ellas dos de iMessage: una permitía que un atacante remoto se uniera a un chat grupal y recibiera sus mensajes, según las notas de seguridad que publicó la empresa.
La compañía no informó que las fallas se hayan explotado en ataques reales. El sitio MacRumors advirtió que, con los detalles ya públicos, los equipos sin actualizar quedan más expuestos. La versión llega dos semanas después de iOS 27.2 y no trae funciones nuevas.
Está disponible para el iPhone 11 y modelos posteriores. También hay versiones para iPad, Mac, Apple Watch y Apple Vision Pro. En el iPhone, se instala desde Ajustes, en General y luego en Actualización de software.
Dos fallas en los chats grupales de iMessage
La primera falla, según Apple, era un problema de autorización: un atacante remoto podía sumarse a un grupo de iMessage sin ser invitado y recibir los mensajes del chat. La empresa la corrigió con una validación más estricta. Un investigador anónimo la reportó.
La segunda afectaba a alguien que ya había sido añadido al grupo: podía ver los mensajes enviados antes de su ingreso. Apple la resolvió eliminando el código vulnerable. También la descubrió un investigador anónimo.
Las notas de Apple no indican que alguna conversación haya sido leída ni cuántos usuarios resultaron afectados. Describen lo que un atacante podría haber hecho, no lo que ocurrió.
Bluetooth y AirPlay: emparejamientos sin permiso
La mayoría de las correcciones se concentra en conexiones inalámbricas. En CoreUtils, un componente del sistema, Apple corrigió un error que permitía que un dispositivo Bluetooth malicioso se emparejara con el iPhone sin intervención del usuario. Otro permitía a un atacante cercano eludir el límite de intentos de códigos de emparejamiento.
Hay además tres correcciones del límite de intentos del código de AirPlay, la función que envía audio y video a otros equipos. Dos requerían estar al alcance del Bluetooth. La tercera, en el proceso rapportd, bastaba con estar en la misma red.
Otra falla de Bluetooth permitía a un atacante cercano dañar la memoria de un proceso del sistema. Apple corrigió un error de manejo de memoria que lo hacía posible. Cuatro de las vulnerabilidades las halló la propia Apple, que se acredita su descubrimiento en las notas.
También se corrigió el acceso a datos sensibles
Apple parchó App Intents, el sistema que expone acciones de las aplicaciones a funciones como Atajos y Siri. Según la empresa, un problema de autorización permitía que una app accediera a datos sensibles del usuario. La compañía no precisa de qué datos se trata.
La actualización incluye además una corrección en brotli, una herramienta de compresión de datos, donde un archivo manipulado podía dañar la memoria del equipo. Apple la atribuyó a una validación insuficiente de la entrada.
Quienes no tengan iOS 27 también recibieron correcciones. Apple publicó iOS 26.7.3, que según MacRumors resuelve los dos errores de iMessage, y iOS 18.7.12, que, según el sitio heise online, corrige seis de las fallas pero no incluye los parches de iMessage.
Cómo funciona iMessage en el iPhone
iMessage funciona integrándose dentro de la aplicación Mensajes del iPhone mediante el envío de datos a través de Wi-Fi o red móvil hacia los servidores de Apple, en lugar de utilizar las redes tradicionales de telefonía.
Cuando redactas un mensaje, el dispositivo detecta automáticamente si el receptor tiene un equipo de Apple activo en la plataforma; de ser así, la conversación se muestra con globos de color azul y se transmite protegida con cifrado de extremo a extremo, lo que garantiza que solo emisor y receptor puedan leer el contenido y permite compartir fotos en alta resolución, notas de voz, reacciones, indicadores de escritura y confirmaciones de lectura.
Si el contacto no utiliza un dispositivo Apple o no cuenta con conexión a internet, la aplicación conmuta automáticamente al envío por SMS/MMS tradicional (o RCS, según la compatibilidad y configuración), identificándolo mediante globos de color verde.
Fuente: infobae.com
