El bug de Facetime fue descubierto por un chico de 14 años y además cobrará del programa bug bounty de Apple

Hace ya una semana que hablamos del problema detectado en Facetime (en llamada de grupo) el cual permitía escuchar e incluso ver al destinatario sin que este haya descolgado. Apple aún no lo ha solucionado pero parece ser que el parche de seguridad iOS 12.1.3 , el cual arregla el bug, saldrá en las próximas horas. Recordemos que este incidente ha provocado la interrupción del servicio de Facetime durante todo este tiempo.

Ha sido un ejecutivo de Apple (no identificado) el que informó de la identidad de la persona que encontró el problema, un chico de 14 años de nombre Grant Thompson. Pero además, también dijo que es bastante probable que reciba la recompensa correspondiente al programa de bug bounty de Apple. El proceso de explotación del bug es realmente sencillo, simplemente hay que comenzar una llamada y añadirnos nosotros mismos a esa misma llamada. Si se ha realizado correctamente, podremos escuchar y ver al destinatario antes de descolgar.

Figura 1. Grant Thomson y su madre en una entrevista de la CNBC. Fuente.

Se desconoce si Grant reportó este fallo a través del programa de bug bounty. Fue el martes pasado cuando Apple recibió las primeras notificaciones del bug a través sobre todo de Twitter. El programa de bug bounty de Apple se anunció en 2016 ofreciendo miles de dólares de recompensa a cualquier que pudiera encontrar alguna vulnerabilidad en sus productos y servicios. Estas recompensas oscilan entre los 25.000$ (cuando se obtiene información del usuario dentro una sandbox de un proceso) hasta los 200.000$ (cuando se obtiene la información fuera de dicho sandbox). Esta última recompensa está especialmente orientada para fallos relacionados con los componentes de secure boot.

El bug de Facetime no encaja claramente dentro de esta clasificación de recompensas así que no sabemos aún cuanto cobrará Grant de Apple, aunque viendo la poca complejidad de explotación es probable que reciba la cantidad más baja posible, aunque su impacto haya sido enorme. Eso sí, hay que agradecerle al chico que haya informado directamente a Apple y no haya vendido cómo explotar este fallo a una de las empresas que se dedican a comerciar con ellas como Zerodium, de la cual ya hemos hablado en este otro artículo.