Acerca del contenido de seguridad de macOS Mojave 10.14.2 y las actualizaciones de seguridad 2018-003 de High Sierra y 2018-006 de Sierra

En este documento, se describe el contenido de seguridad de macOS Mojave 10.14.2 y las actualizaciones de seguridad 2018-003 de High Sierra y 2018-006 de Sierra.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

macOS Mojave 10.14.2 y las actualizaciones de seguridad 2018-003 de High Sierra y 2018-006 de Sierra

AirPort

Disponible para macOS Mojave 10.14.1

Impacto: Una app creada con fines malintencionados podía elevar privilegios.

Descripción: Se solucionó un problema de confusión de tipo mejorando el manejo de la memoria.

CVE-2018-4303: Mohamed Ghannam (@_simo36)

AMD

Disponible para macOS Sierra 10.12.6, macOS Mojave 10.14.1 y macOS High Sierra 10.13.6

Impacto: Una app podía leer la memoria restringida.

Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.

CVE-2018-4462: cocoahuke, Lilang Wu y Moony Li de TrendMicro Mobile Security Research Team en colaboración con la iniciativa Zero Day de Trend Micro

Carbon Core

Disponible para macOS Mojave 10.14.1

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4463: Maksymilian Arciemowicz (cxsecurity.com)

Imágenes de disco

Disponible para macOS Sierra 10.12.6, macOS High Sierra 10.13.6 y macOS Mojave 10.14.1

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4465: Pangu Team

Hipervisor

Disponible para macOS Mojave 10.14.1

Impacto: Una app creada con fines malintencionados podía elevar privilegios.

Descripción: Se solucionó un problema de daños en la memoria mejorando la administración de estados.

CVE-2018-4467: Martim Carbone, David Vernet, Sam Scalise y Fred Jacobs de Virtual Machine Monitor Group de VMware, Inc.

Controlador de gráficos Intel

Disponible para macOS Mojave 10.14.1

Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4452: Liu Long de Qihoo 360 Vulcan Team

Controlador de gráficos Intel

Disponible para macOS Mojave 10.14.1

Impacto: Un usuario local podía provocar el cierre inesperado del sistema o leer la memoria del kernel.

Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la validación de entradas.

CVE-2018-4434: Zhuo Liang de Qihoo 360 Nirvan Team

Controlador de gráficos Intel

Disponible para macOS Sierra 10.12.6

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4456: Tyler Bohan de Cisco Talos

Controlador de gráficos Intel

Disponible para macOS Sierra 10.12.6 y macOS High Sierra 10.13.6

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de inicialización de la memoria mejorando el manejo de la memoria.

CVE-2018-4421: Tyler Bohan de Cisco Talos

IOHIDFamily

Disponible para macOS Sierra 10.12.6 y macOS High Sierra 10.13.6

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4427: Pangu Team

Kernel

Disponible para macOS Mojave 10.14.1, macOS High Sierra 10.13.6

Impacto: Un usuario local podía leer la memoria del kernel.

Descripción: Se solucionó un problema de inicialización de la memoria mejorando el manejo de la memoria.

CVE-2018-4431: Un investigador de seguridad independiente informó esta vulnerabilidad al programa SecuriTeam Secure Disclosure de Beyond Security

CVE-2018-4448: Brandon Azad

Kernel

Disponible para macOS Mojave 10.14.1

Impacto: Un atacante con una posición de red privilegiada podía ejecutar un ataque de denegación de servicio.

Descripción: Se solucionó un problema de denegación de servicio eliminando el código vulnerable.

CVE-2018-4460: Kevin Backhouse de Semmle Security Research Team

Kernel

Disponible para macOS High Sierra 10.13.6, macOS Mojave 10.14.1

Impacto: Un usuario local podía leer la memoria del kernel.

Descripción: Se solucionó un problema de inicialización de la memoria mejorando el manejo de la memoria.

CVE-2018-4431: Un investigador de seguridad independiente informó esta vulnerabilidad al programa SecuriTeam Secure Disclosure de Beyond Security

Kernel

Disponible para macOS Sierra 10.12.6, macOS Mojave 10.14.1 y macOS High Sierra 10.13.6

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando la administración de estados.

CVE-2018-4447: Juwei Lin (@panicaII) y Zhengyu Dong de TrendMicro Mobile Security Team en colaboración con la iniciativa Zero Day de Trend Micro

Kernel

Disponible para macOS Sierra 10.12.6, macOS Mojave 10.14.1 y macOS High Sierra 10.13.6

Impacto: Una app creada con fines malintencionados podía elevar privilegios.

Descripción: Se solucionó un problema de lógica mejorando las restricciones.

CVE-2018-4435: Jann Horn de Google Project Zero, Juwei Lin (@panicaII) y Junzhi Lu de TrendMicro Mobile Security Team en colaboración con la iniciativa Zero Day de Trend Micro

Kernel

Disponible para macOS Mojave 10.14.1

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2018-4461: Ian Beer de Google Project Zero

WindowServer

Disponible para macOS Sierra 10.12.6, macOS High Sierra 10.13.6 y macOS Mojave 10.14.1

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2018-4449: Hanqing Zhao, Yufeng Ruan y Kun Yang de Chaitin Security Research Lab

CVE-2018-4450: Hanqing Zhao, Yufeng Ruan y Kun Yang de Chaitin Security Research Lab

Otros agradecimientos

LibreSSL

Nos gustaría darle las gracias a Keegan Ryan de NCC Group por su ayuda.

NetAuth

Nos gustaría darle las gracias a Vladimir Ivanov de Digital Security por su ayuda.

Protocolo de inscripción de certificados simple (SCEP)

Nos gustaría darles las gracias a Tim Cappalli de Aruba y a Hewlett Packard Enterprise por su ayuda.

Time Machine

Nos gustaría darle las gracias a Matthew Thomas de Verisign por su ayuda.