Acerca del contenido de seguridad de macOS Sierra 10.12.6 y las actualizaciones de seguridad 2017-003 de El Capitan y 2017-003 de Yosemite

En este documento, se describe el contenido de seguridad de macOS Sierra 10.12.6 y las actualizaciones de seguridad 2017-003 de El Capitan y 2017-003 de Yosemite.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página de seguridad de los productos Apple. Puedes encriptar las comunicaciones con Apple mediante la clave PGP de seguridad de los productos Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

macOS Sierra 10.12.6, actualizaciones de seguridad 2017-003 de El Capitan y 2017-003 de Yosemite

afclip

Disponible para macOS Sierra 10.12.5

Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2017-7016: riusksk (泉哥) de Tencent Security Platform Department

afclip

Disponible para macOS Sierra 10.12.5

Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7033: riusksk (泉哥) de Tencent Security Platform Department

AppleGraphicsPowerManagement

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7021: sss y Axis de Qihoo 360 Nirvan Team

Audio

Disponible para macOS Sierra 10.12.5

Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía revelar memoria restringida.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7015: riusksk (泉哥) de Tencent Security Platform Department

Bluetooth

Disponible para macOS Sierra 10.12.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7050: Min (Spark) Zheng de Alibaba Inc.

CVE-2017-7051: Alex Plaskett de MWR InfoSecurity

Bluetooth

Disponible para macOS Sierra 10.12.5

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7054: Alex Plaskett de MWR InfoSecurity, Lufeng Li de Qihoo 360 Vulcan Team

Contactos

Disponible para macOS Sierra 10.12.5

Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario.

Descripción: Se solucionó un problema de desbordamiento del búfer mejorando el manejo de la memoria.

CVE-2017-7062: Shashank (@cyberboyIndia)

CoreAudio

Disponible para macOS Sierra 10.12.5

Impacto: El procesamiento de un archivo de película creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando la comprobación de límites.

CVE-2017-7008: Yangkang (@dnpushme) de Qihoo 360 Qex Team

curl

Disponible para macOS Sierra 10.12.5

Impacto: Varios problemas en curl.

Descripción: Se solucionaron varios problemas realizando una actualización a la versión 7.54.0.

CVE-2016-9586

CVE-2016-9594

CVE-2017-2629

CVE-2017-7468

Foundation

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: El procesamiento de un archivo creado con fines malintencionados podía provocar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2017-7031: HappilyCoded (ant4g0nist y r3dsm0k3)

Importador de tipos de letra

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: El procesamiento de un tipo de letra creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2017-13850: John Villamil, Doyensec

Controlador de gráficos Intel

Disponible para macOS Sierra 10.12.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7014: Lee de Minionz, Axis y sss de Qihoo 360 Nirvan Team

CVE-2017-7017: chenqin de Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室)

CVE-2017-7035: shrek_wzw de Qihoo 360 Nirvan Team

CVE-2017-7044: shrek_wzw de Qihoo 360 Nirvan Team

Controlador de gráficos Intel

Disponible para macOS Sierra 10.12.5

Impacto: Una app podía leer la memoria restringida.

Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.

CVE-2017-7036: shrek_wzw de Qihoo 360 Nirvan Team

CVE-2017-7045: shrek_wzw de Qihoo 360 Nirvan Team

IOUSBFamily

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7009: Shrek_wzw de Qihoo 360 Nirvan Team

Kernel

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7022: Un investigador anónimo

CVE-2017-7024: Un investigador anónimo

Kernel

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7023: Un investigador anónimo

Kernel

Disponible para macOS Sierra 10.12.5

Impacto: Una aplicación podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7025: Un investigador anónimo

CVE-2017-7027: Un investigador anónimo

CVE-2017-7069: Proteas de Qihoo 360 Nirvan Team

Kernel

Disponible para macOS Sierra 10.12.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7026: Un investigador anónimo

Kernel

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una app podía leer la memoria restringida.

Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.

CVE-2017-7028: Un investigador anónimo

CVE-2017-7029: Un investigador anónimo

Kernel

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una app podía leer la memoria restringida.

Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.

CVE-2017-7067: shrek_wzw de Qihoo 360 Nirvan Team

herramientas kext

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7032: Axis y sss de Qihoo 360 Nirvan Team

libarchive

Disponible para macOS Sierra 10.12.5

Impacto: Abrir un archivo creado con fines malintencionados podía provocar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de desbordamiento del búfer mejorando la comprobación de los límites.

CVE-2017-7068: Detectado por OSS-Fuzz

libxml2

Disponible para macOS Sierra 10.12.5, OS X El Capitan 10.11.6 y OS X Yosemite 10.10.5

Impacto: El análisis de un documento XML creado con fines malintencionados podía provocar la divulgación de información del usuario.

Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.

CVE-2017-7010: Apple

CVE-2017-7013: Detectado por OSS-Fuzz

libxpc

Disponible para macOS Sierra 10.12.5 y OS X El Capitan 10.11.6

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7047: Ian Beer de Google Project Zero

Wi-Fi

Disponible para macOS Sierra 10.12.5

Impacto: Un atacante dentro del alcance podía ejecutar código arbitrario en el chip de Wi-Fi.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-7065: Gal Beniamini de Google Project Zero

Wi-Fi

Disponible para macOS Sierra 10.12.5

Impacto: Un atacante dentro del alcance podía ejecutar código arbitrario en el chip de Wi-Fi.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2017-9417: Nitay Artenstein de Exodus Intelligence

Otros agradecimientos

curl

Nos gustaría darle las gracias a Dave Murdock de Tangerine Element por su ayuda.