Acerca del contenido de seguridad de tvOS 10

En este documento, se describe el contenido de seguridad de tvOS 10.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página de seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

tvOS 10

Audio

Disponible para Apple TV (cuarta generación)

Impacto: Un atacante remoto podía ejecutar código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-4702: YoungJin Yoon, MinSik Shin, HoJae Han, Sunghyun Park y Taekyoung Kwon del Laboratorio de Seguridad Informática de la Universidad Yonsei

CFNetwork

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía poner en peligro la información de un usuario.

Descripción: Existía un problema de validación de entradas en el análisis del encabezado Set-Cookie. Este problema se solucionó mejorando la comprobación de validación.

CVE-2016-4708: Dawid Czagan de Silesia Security Lab

CoreCrypto

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía ejecutar código arbitrario.

Descripción: Se solucionó un problema de escritura fuera de los límites eliminando el código vulnerable.

CVE-2016-4712: Gergo Koteles

FontParser

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de un tipo de letra creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.

Descripción: Existía un desbordamiento del búfer en el manejo de los archivos de tipos de letra. Este problema se solucionó mejorando la comprobación de los límites.

CVE-2016-4718: Apple

IOAcceleratorFamily

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la divulgación de la memoria de un proceso.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2016-4725: Rodger Combs de Plex, Inc.

IOAcceleratorFamily

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-4726: Un investigador anónimo

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Un atacante remoto podía ocasionar una denegación de servicio

Descripción: Se solucionó un problema de manejo de bloqueos mejorando el manejo de bloqueos.

CVE-2016-4772: Marc Heuse de mh-sec

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Una app podría determinar la distribución de la memoria del kernel.

Descripción: Existían varios problemas de lectura fuera de los límites que ocasionaron la divulgación de contenido de la memoria del kernel. Para solucionar estos problemas, se mejoró la validación de entradas.

CVE-2016-4773: Brandon Azad

CVE-2016-4774: Brandon Azad

CVE-2016-4776: Brandon Azad

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Un usuario local podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-4775: Brandon Azad

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Existía un problema de falta de referencia de puntero que no era de confianza. Se solucionó eliminando el código afectado.

CVE-2016-4777: Lufeng Li de Qihoo 360 Vulcan Team

Kernel

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionaron varios problemas de daño en la memoria mejorando el manejo de la memoria.

CVE-2016-4778: CESG

libxml2

Disponible para Apple TV (cuarta generación)

Descripción: Existían varios problemas en libxml2. El más grave de esos problemas podía provocar el cierre inesperado de una app o la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daño en la memoria mejorando el manejo de la memoria.

CVE-2016-4658: Nick Wellnhofer

CVE-2016-5131: Nick Wellnhofer

libxslt

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2016-4738: Nick Wellnhofer

Seguridad

Disponible para Apple TV (cuarta generación)

Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema.

Descripción: Existía un problema de validación en imágenes de discos firmadas. Para solucionar este problema, se mejoró la validación del tamaño.

CVE-2016-4753: Mark Mentovai de Google Inc.

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Existía un problema de análisis en la administración de prototipos de errores. Para solucionar este problema, se mejoró la validación.

CVE-2016-4728: Daniel Divricean

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daño en la memoria mejorando el manejo de la memoria.

CVE-2016-4611: Apple

CVE-2016-4730: Apple

CVE-2016-4734: natashenka de Google Project Zero

CVE-2016-4735: André Bargull

CVE-2016-4737: Apple

CVE-2016-4759: Tongbo Luo de Palo Alto Networks

CVE-2016-4766: Apple

CVE-2016-4767: Apple

CVE-2016-4768: Anónimo en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daños en la memoria mejorando la administración de estado.

CVE-2016-4733: natashenka de Google Project Zero

CVE-2016-4765: Apple

WebKit

Disponible para Apple TV (cuarta generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionaron varios problemas de daños en la memoria mejorando la administración de estado.

CVE-2016-4764: Apple