Acerca del contenido de seguridad de macOS Big Sur 11.5
En este documento, se describe el contenido de seguridad de macOS Big Sur 11.5.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Big Sur 11.5
Publicado el 21 de julio de 2021
AMD Kernel
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2021-30805: ABC Research s.r.o
Analytics
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda acceder a los datos de análisis
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30871: Denis Tokarev (@illusionofcha0s)
Entrada agregada el 25 de octubre de 2021 y actualizada el 25 de mayo de 2022
AppKit
Disponible para macOS Big Sur
Impacto: La apertura de un archivo creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se solucionó un problema de divulgación de información eliminando el código vulnerable.
CVE-2021-30790: hjy79425575 en colaboración con el programa Zero Day Initiative de Trend Micro
App Store
Disponible para macOS Big Sur
Impacto: Una app creada con fines malintencionados podía omitir ciertas preferencias de privacidad
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-31006: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de mayo de 2022
Audio
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30781: tr3e
AVEVideoEncoder
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.
CVE-2021-30748: George Nosenko
CoreAudio
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados ocasione la ejecución de código arbitrario
Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.
CVE-2021-30775: JunDong Xie de Ant Security Light-Year Lab
CoreAudio
Disponible para macOS Big Sur
Impacto: Es posible que la reproducción de un archivo de audio creado con fines malintencionados pueda ocasionar el cierre inesperado de una app
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30776: JunDong Xie de Ant Security Light-Year Lab
CoreGraphics
Disponible para macOS Big Sur
Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2021-30786: ryuzaki
CoreServices
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30772: Zhongcheng Li (CK01)
CoreServices
Disponible para macOS Big Sur
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Para solucionar un problema de acceso, se mejoró las restricciones de acceso.
CVE-2021-30783: Ron Waisberg (@epsilan)
CoreStorage
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se solucionó un problema de inyección mejorando la validación.
CVE-2021-30777: Tim Michaud (@TimGMichaud) de Zoom Video Communications y Gary Nield de ECSC Group plc
CoreText
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30789: Mickey Jin (@patch1t) de Trend Micro y Sunglin de Knownsec 404 Team
Crash Reporter
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30774: Yizhuo Wang de Group of Software Security In Progress (G.O.S.S.I.P) de la Universidad Jiao Tong de Shanghái
CVMS
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.
CVE-2021-30780: Tim Michaud (@TimGMichaud) de Zoom Video Communications
dyld
Disponible para macOS Big Sur
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30768: Linus Henze (pinauten.de)
Family Sharing
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda acceder a datos sobre las cuentas con las que el usuario usaba Compartir en familia
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30817: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de octubre de 2021
Find My
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener acceso a los datos de Encontrar
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30804: Csaba Fitzl (@theevilbit) de Offensive Security, Wojciech Reguła (@_r3ggi) de SecuRing
Entrada agregada el 22 de diciembre de 2022 y actualizada el 2 de mayo de 2023
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2021-30760: Sunglin de Knownsec 404 Team
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo TIFF creado con fines malintencionados pueda ocasionar una denegación de servicio o revelar el contenido de la memoria
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30788: tr3e en colaboración con el programa Zero Day Initiative de Trend Micro
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de pila mejorando la validación de entradas.
CVE-2021-30759: hjy79425575 en colaboración con el programa Zero Day Initiative de Trend Micro
Identity Services
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda acceder a los contactos recientes del usuario
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30803: Matt Shockley (twitter.com/mattshockl), Csaba Fitzl (@theevilbit) de Offensive Security
Entrada actualizada el 18 de noviembre de 2021
ImageIO
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30779: Jzhu y Ye Zhang (@co0py_Cat) de Baidu Security
ImageIO
Disponible para macOS Big Sur
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.
CVE-2021-30785: CFF de Topsec Alpha Team y Mickey Jin (@patch1t) de Trend Micro
Intel Graphics Driver
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o escribir la memoria del kernel
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30787: anónimo en colaboración con el programa Zero Day Initiative de Trend Micro
Intel Graphics Driver
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30766: Liu Long de Ant Security Light-Year Lab
CVE-2021-30765: Yinyi Wu (@3ndy1) de Qihoo 360 Vulcan Team, Liu Long de Ant Security Light-Year Lab
Entrada actualizada el 18 de noviembre de 2021
IOKit
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda ejecutar código en el chip de seguridad T2 de Apple
Descripción: Se mejoró la lógica para solucionar varios problemas.
CVE-2021-30784: George Nosenko
Kernel
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30793: Zuozhi Fan (@pattern_F_) de Ant Security TianQiong Lab
Kext Management
Disponible para macOS Big Sur
Impacto: Una app creada con fines malintencionados podía omitir las preferencias de privacidad
Descripción: Se mejoraron los derechos para solucionar este problema.
CVE-2021-30778: Csaba Fitzl (@theevilbit) de Offensive Security
LaunchServices
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda salir de su zona protegida
Descripción: Para solucionar este problema, se mejoró el saneamiento del entorno.
CVE-2021-30677: Ron Waisberg (@epsilan)
Entrada agregada el 25 de octubre de 2021
libxml2
Disponible para macOS Big Sur
Impacto: Un atacante remoto podía ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-3518
Model I/O
Disponible para macOS Big Sur
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar una denegación de servicio.
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30796: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para macOS Big Sur
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30792: anónimo en colaboración con el programa Zero Day Initiative de Trend Micro
Model I/O
Disponible para macOS Big Sur
Impacto: El procesamiento de un archivo creado con fines malintencionados podía revelar información del usuario
Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.
CVE-2021-30791: anónimo en colaboración con el programa Zero Day Initiative de Trend Micro
Networking
Disponible para macOS Big Sur
Impacto: Es posible que visitar una página web creada con fines malintencionados pueda ocasionar una denegación de servicio por parte del sistema
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1821: Georgi Valkov (httpstorm.com)
Entrada agregada el 25 de octubre de 2021
Sandbox
Disponible para macOS Big Sur
Impacto: Una app creada con fines malintencionados podía obtener acceso a archivos restringidos.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30782: Csaba Fitzl (@theevilbit) de Offensive Security
Security
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda obtener privilegios elevados
Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.
CVE-2021-31004: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de mayo de 2022
TCC
Disponible para macOS Big Sur
Impacto: Una app creada con fines malintencionados podía omitir ciertas preferencias de privacidad
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30798: Mickey Jin (@patch1t) de Trend Micro en colaboración con el programa Zero Day Initiative de Trend Micro
Entrada actualizada el 18 de noviembre de 2021
WebKit
Disponible para macOS Big Sur
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
CVE-2021-30758: Christoph Guttandin de Media Codings
WebKit
Disponible para macOS Big Sur
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.
CVE-2021-30795: Sergei Glazunov de Google Project Zero
WebKit
Disponible para macOS Big Sur
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30797: Ivan Fratric de Google Project Zero
WebKit
Disponible para macOS Big Sur
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30799: Sergei Glazunov de Google Project Zero
Otros agradecimientos
configd
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
CoreText
Nos gustaría darle las gracias a Mickey Jin (@patch1t) de Trend Micro por su ayuda.
crontabs
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
Power Management
Nos gustaría darles las gracias a Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit), Lisandro Ubiedo (@_lubiedo) de Stratosphere Lab
Entrada agregada el 22 de diciembre de 2022
Sandbox
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
Spotlight
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
sysdiagnose
Nos gustaría darles las gracias a Carter Jones (linkedin.com/in/carterjones/) y Tim Michaud (@TimGMichaud) de Zoom Video Communications, Csaba Fitzl (@theevilbit) de Offensive Security, Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab y Wojciech Reguła (@_r3ggi) de SecuRing por su ayuda.
Entrada agregada el 25 de mayo de 2022 y actualizada el 16 de julio de 2024
La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.