Vulnerabilidades Críticas Zero-Day: Apple ImageIO (CVE-2025-43300) y Endress+Hauser (septiembre 2025)

Resumen de vulnerabilidades recientes: Apple y Endress+Hauser (septiembre 2025)

Resumen: En septiembre 2025 se han publicado parches críticos tanto para sistemas Apple como para dispositivos industriales Endress+Hauser, relacionados con vulnerabilidades explotadas activamente por atacantes y catalogadas de severidad alta o crítica.

Apple iOS/macOS/iPadOS – CVE-2025-43300

Tipo: Zero-day de ejecución de código (out-of-bounds write) en framework ImageIO.
La vulnerabilidad permite a un atacante ejecutar código al procesar una imagen maliciosa enviada por mensaje, email o web. No requiere interacción del usuario (exploit “zero-click”).
Afecta a iPhone, iPad, Mac y dispositivos con iOS, iPadOS y macOS recientes. Patcheado en septiembre 2025. La explotación activa ha sido documentada en ataques extremadamente sofisticados y dirigidos a perfiles de alto valor (disidentes, periodistas, objetivos políticos).
El impacto es máximo: control total del dispositivo, robo de datos, instalación de spyware, registro de actividad y persistencia del atacante.
Se recomienda actualización inmediata del sistema y activar actualizaciones automáticas para futuros parches.
La vulnerabilidad fue agregada al catálogo de vulnerabilidades explotadas de CISA, con una puntuación de severidad de 8.8/10 [web:184][web:185][web:36][web:33][web:194].

Endress+Hauser – CVE-2025-41690, CVE-2025-1708, CVE-2025-27447 y otras

Tipo: Inserción de información confidencial, escalada de privilegios, SQL Injection, XSS, almacenamiento inseguro de credenciales.
En la familia de dispositivos Promag y Promass (versiones < 01.00.06 y variantes Modbus/IO-Link/HART), un atacante con poco privilegio o acceso físico/bajo alcance Bluetooth podría obtener credenciales de administrador desde los logs o explotar el sistema con ataques SQLi o fuerza bruta (CVE-2025-41690, CVE-2025-1708, CVE-2025-27449…).
Impacto: acceso no autorizado, modificación de parámetros operativos, exposición de la base de datos y control total del equipo.
Las vulnerabilidades pueden ser explotadas remotamente (por red/Ethernet) y en muchos casos sin autenticación. Hay parches de firmware y recomendaciones de desactivar Bluetooth si no es posible actualizar.
Múltiples CVE de severidad alta (7.5-9.8). Actualización y endurecimiento de acceso, así como la reducción de la exposición a redes públicas, son obligatorios [web:186][web:190][web:183].

Resumen técnico y recomendaciones

CVE	CVE-2025-43300 (Apple), CVE-2025-41690, 1708, 27449… (Endress+Hauser)
Componentes afectados	Apple ImageIO, dispositivos Promag 10/Promass 10 y MEAC300-FNADE4
Vector de ataque	Imagen procesada (Apple), acceso a logs, red o Bluetooth (Endress+Hauser)
Impacto	RCE total, extracción de datos, persistencia, manipulación de parámetros industriales
Solución	Actualizar sistemas Apple y firmware Endress+Hauser, endurecer configuraciones y reducir exposición a internet y Bluetooth
Referencias	CISA, Apple, INCIBE, Cyberzaintza, Secpod, SecurityAffairs, Endress+Hauser advisories

Recomendación urgente: Aplica los parches de seguridad lo antes posible y limita la exposición de estos sistemas a redes públicas o sin control. Supervisa actividad y revisa logs de eventos sospechosos, especialmente si se detecta comportamiento anómalo o fugas de información.