Revelado un bug que permite hacer bypass al PIN de iOS 13

Un investigador de ciberseguridad ha hecho pública una vulnerabilidad en el sistema operativo móvil de Apple (iOS 13) antes incluso de que la firma lo tuviera planeado, ya que en principio sería el próximo día 19 de Septiembre.

Los usuarios de Apple estaban frotándose las manos ante las novedades que podrían desvelarse en los próximos parches, pero esta filtración podría arruinar un poco la fiesta a todos.

Filtrada vulnerabilidad en iOS 13 antes de tiempo

El investigador -José Rodriguez- descubrió un fallo de seguridad que podría permitir un bypass del passcode (código/frase de seguridad) empleado para bloquear los dispositivos. Esto posibilitaría a un atacante obtener acceso a los contactos y otros datos de los usuarios, incluso con los terminales bloqueados.

A continuación podéis consultar la secuencia necesaria para explotar la vulnerabilidad:

  • Responder a una llamada entrante con un mensaje personalizado
  • Habilitar la característica VoiceOver (lector de textos)
  • Deshabilitar la característica VoiceOver
  • Añadir un nuevo contacto al mensaje personalizado
  • Hacer clic sobre la imagen de contacto para que aparezca el menú «Añadir a contacto existente»
  • Cuando se muestre la lista de contactos, pulsar sobre el contacto deseado para ver su información.

A continuación podéis ver un vídeo con la demostración del exploit.

José reportó la vulnerabilidad a Apple el pasado 17 de Julio, momento en que el nuevo iOS 13 estaba aún en beta. El experto publicó esta información el pasado 11S, cuando la empresa todavía no contaba con una remediación.

Este investigador parece bien familiarizado con el mundo Apple, ya que recientemente publicó otra vulnerabilidad en el passcode de iOS 12.1, que permitiría también consultar información de los contactos de cualquier dispositivo con dicha versión.

Y hace algunas semanas publicó otro fallo en el software que permitía acceder a las imágenes de cualquier iPhone XS bloqueado, con iOS 12. 

Como siempre, os aconsejamos estar atentos a los parches que vayan apareciendo y tomar medidas rápidamente. Un dispositivo al día es un dispositivo más seguro.

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.