Acerca del contenido de seguridad de la actualización Mac OS X 10.4.8 y la actualización de seguridad 2006-006

En este documento, se describen la actualización de seguridad 2006-006 y el contenido de seguridad de la actualización Mac OS X 10.4.8, que se puede descargar e instalar a través de las preferencias de Actualización de software o desde Descargas de Apple.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o versiones necesarias. Para obtener más información acerca de la seguridad de los productos de Apple, consulta el sitio web Seguridad de los productos Apple.

Para obtener información acerca de la clave PGP de seguridad de los productos Apple, consulta “Cómo usar la clave PGP de seguridad de los productos Apple”.

A fin de proporcionar más información, siempre que sea posible, se usan identificadores CVE para hacer referencia a las vulnerabilidades.

Para obtener información sobre otras actualizaciones de seguridad, consulta “Actualizaciones de seguridad”.

Mac OS X v10.4.8 y la actualización de seguridad 2006-006

• CFNetwork

  Identificador de CVE: CVE-2006-4390

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: los clientes de CFNetwork, como Safari, pueden permitir que sitios de SSL no autenticados aparezcan como autenticados

  Descripción: las conexiones creadas con SSL, por lo general, están autenticadas y cifradas. Cuando se implementa el cifrado sin autenticación, los sitios maliciosos pueden hacerse pasar por sitios de confianza. En el caso de Safari, esto puede llevar a que se muestre el ícono del candado cuando la identidad de un sitio remoto no sea de confianza. En esta actualización, se aborda el problema mediante el rechazo de las conexiones de SSL anónimas de manera predeterminada. Le agradecemos Adam Bryzak de Queensland University of Technology por informar este problema.

• Flash Player

  Identificador de CVE: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: la reproducción de contenido Flash puede resultar en la ejecución de código arbitrario

  Descripción: Adobe Flash Player contiene vulnerabilidades críticas que pueden resultar en la ejecución de código arbitrario cuando se procesa contenido malicioso. En esta actualización, se aborda el problema con la incorporación de la versión de Flash Player 9.0.16.0 en Mac OS X v10.3.9 y la versión de Flash Player 9.0.20.0 en los sistemas de Mac OS X v10.4.

  Para más información, se recomienda visitar el sitio web de Adobe http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  Identificador de CVE: CVE-2006-4391

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: la visualización de una imagen JPEG2000 maliciosa puede resultar en la caída de una aplicación o en que se ejecute código arbitrario

  Descripción: mediante una imagen JPEG2000 maliciosa, un atacante puede desencadenar un desbordamiento de búfer que genere la caída de la aplicación o la ejecución de código arbitrario. En esta actualización, se aborda el problema mediante una validación adicional de las imágenes JPEG2000. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4. Agradecemos a Tom Saxton of Idle Loop Software Design por informar sobre este problema.

• Kernel

  Identificador de CVE: CVE-2006-4392

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: los usuarios locales pueden ejecutar código arbitrario con privilegios elevados

  Descripción: un error al lidiar con mecanismos en el kernel, conocido como puertos de excepción Mach, proporciona la capacidad de controlar programas cuando se encuentran ciertos tipos de errores. Los usuarios locales maliciosos pueden usar este mecanismo para ejecutar código arbitrario en programas privilegiados si se encuentra un error. En esta actualización, se aborda el problema mediante la restricción del acceso a los puertos de excepción Mach para los programas privilegiados. Agradecemos a Dino Dai Zovi de Matasano Security por informar este problema.

• LoginWindow

  Identificador de CVE: CVE-2006-4397

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: luego de un intento sin éxito de iniciar sesión en una cuenta de la red, los tickets de Kerberos pueden estar disponibles para otros usuarios locales

  Descripción: mediante una condición de error no verificada, puede que los tickets de Kerberos no se eliminen apropiadamente luego de un intento sin éxito de iniciar sesión en una cuenta de la red a través de la ventana de inicio de sesión. Esto puede resultar en un acceso no autorizado de otros usuarios locales a un ticket de Kerberos de otro usuario. En esta actualización, se aborda el problema con la eliminación de la caché de las credenciales luego de los inicios de sesión fallidos. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4. Agradecemos a Patrick Gallagher de Digital Peaks Corporation por informar este problema.

• LoginWindow

  Identificador de CVE: CVE-2006-4393

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: otros usuarios locales pueden acceder a tickets de Kerberos si se encuentra habilitada la opción Fast User Switchin (Cambio de usuario rápido)

  Descripción: un error en el manejo de Fast User Switchin (Cambio de usuario rápido) puede permitir que un usuario local obtenga acceso a los tickets de Kerberos de otros usuarios locales. Se actualizó Fast User Switchin (Cambio de usuario rápido) para prevenir esta situación. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4. Agradecemos a Ragnar Sundblad del Royal Institute of Technology, Estocolmo, Suecia, por informar este problema.

• LoginWindow

  Identificador de CVE: CVE-2006-4394

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: las cuentas de la red pueden ignorar los controles de acceso del servicio de la ventana de inicio de sesión

  Descripción: los controles de acceso del servicio se pueden usar para restringir qué usuarios tienen permiso de iniciar sesión en un sistema a través de la ventana de inicio de sesión. Un error lógico en la ventana de inicio de sesión permite que las cuentas de la red sin GUID ignoren los controles de acceso del servicio. Este problema solo afecta a los sistemas que se hayan configurado para usar controles de acceso de servicio para la ventana de inicio de sesión y para permitir que las cuentas de la red autentiquen usuarios sin GUID. Este problema se ha resuelto con el manejo adecuado de los controles de acceso de servicio en la ventana de inicio de sesión. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.

• Preferences

  Identificador de CVE: CVE-2006-4387

  Disponible para: Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: después de eliminar los privilegios de administrador de una cuenta, con la cuenta se podrían seguir administrando aplicaciones de WebObjects

  Descripción: desactivar la casilla “Permitir que este usuario administre la computadora” en las Preferencias del sistema, puede que no elimine la cuenta de los grupos appserveradm o appserverusr. Estos grupos permiten que una cuenta administre las aplicaciones de WebObjects. En esta actualización, se aborda el problema asegurando que la cuenta se elimine de los grupos apropiados. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4. Agradecemos a Phillip Tejada de Fruit Bat Software por informar este problema.

• QuickDraw Manager

  Identificador de CVE: CVE-2006-4395

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: abrir una imagen PICT maliciosa con determinadas aplicaciones puede resultar en la caída de una aplicación o en la ejecución de código arbitrario

  Descripción: determinadas aplicaciones invocan una operación de QuickDraw que no es compatible para mostrar imágenes PICT. Mediante la generación de una imagen PICT corrupta, un atacante puede activar daños en la memoria de estas aplicaciones, lo que puede resultar en la caída de una aplicación o en la ejecución arbitraria de código. En esta actualización, se aborda el problema mediante la prevención de la operación que no es compatible.

• SASL

  Identificador de CVE: CVE-2006-1721

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: atacantes remotos pueden generar una denegación de servicio del servidor IMAP

  Descripción: un problema en la compatibilidad de la negociación DIGEST-MD5 en Cyrus SASL puede resultar en una falla de segmentación en el servidor IMAP con un encabezado de realm malicioso. En esta actualización, se soluciona el problema mediante la mejora en el manejo los encabezados de realm en los intentos de autenticación.

• WebCore

  Identificador de CVE: CVE-2006-3946

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 mediante Mac OS X v10.4.7, Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: el acceso a una página web maliciosa puede resultar en la ejecución de código arbitrario

  Descripción: un error en la administración de la memoria en el manejo de WebKit de determinados HTML puede permitir que un sitio web malicioso genere una caída del sistema o que potencialmente ejecute código arbitrario mientras el usuario accede al sitio. En esta actualización, se aborda el problema mediante la prevención de la condición que genera el desbordamiento. Agradecemos a Jens Kutilek de Netzallee, a Lurene Grenier, ingeniera de investigación sénior en Sourcefire VRT, y a Jose Avila III, analista de seguridad en ONZRA por informar este problema.

• Workgroup Manager

  Identificador de CVE: CVE-2006-4399

  Disponible para: Mac OS X Server v10.4 mediante Mac OS X Server v10.4.7

  Impacto: las cuentas principales en un NetInfo que parecen usar contraseñas de ShadowHash puede que sigan usando el cifrado

  Descripción: Workgroup Manager aparenta permitir cambiar el tipo de autenticación de contraseñas cifradas a contraseñas de ShadowHash en un NetInfo principal, cuando en realidad no lo permite. Si se actualiza la vista de una cuenta en un NetInfo principal indicará correctamente que el cifrado se sigue usando. En esta actualización, se aborda el problema con el rechazo a la posibilidad de que los administradores seleccionen las contraseñas de ShadowHash para su cuentas en un NetInfo principal. Agradecemos a Chris Pepper de Rockefeller University por informar este problema.

Nota de instalación

La actualización del software presentará la actualización que se aplique a la configuración del sistema. Solo se necesita una.

La actualización de seguridad 2006-006 se instalará en los sistemas Mac OS X v10.3.9 y Mac OS X Server v10.3.9.

Mac OS X v10.4.8 contiene las soluciones de seguridad presentes en la actualización de seguridad 2006-006 y se instalará en Mac OS X v10.4 o versiones posteriores, y en Mac OS X Server v10.4 o sistemas posteriores.