Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
iOS 13
Publicado el 19 de septiembre de 2019
Bluetooth
Disponible para iPhone 6s y posteriores
Impacto: Las vistas previas de las notificaciones podían mostrarse en accesorios Bluetooth aunque las vistas previas estuvieran desactivadas.
Descripción: Existía un problema de lógica para mostrar las vistas previas de las notificaciones. Este problema se solucionó mejorando la validación.
CVE-2019-8711: Arjang de MARK ANTHONY GROUP INC., Cemil Ozkebapci (@cemilozkebapci) de Garanti BBVA, Oguzhan Meral de Deloitte Consulting, Ömer Bozdoğan-Ramazan Atıl Anadolu Lisesi Adana/TÜRKİYE
CoreAudio
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de un video creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.
Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.
CVE-2019-8705: riusksk de VulWar Corp en colaboración con la iniciativa Zero Day de Trend Micro
Face ID
Disponible para iPhone X y posteriores
Impacto: Un modelo 3D diseñado para lucir como el usuario registrado podía autenticarse con Face ID.
Descripción: Este problema se solucionó mejorando los modelos de aprendizaje automáticos de Face ID.
CVE-2019-8760: Wish Wu (吴潍浠 @wish_wu) de Ant-financial Light-Year Security Lab
Foundation
Disponible para iPhone 6s y posteriores
Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la validación de entradas.
CVE-2019-8641: Samuel Groß y Natalie Silvanovich de Google Project Zero
Kernel
Disponible para iPhone 6s y posteriores
Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2019-8717: Jann Horn de Google Project Zero
Entrada agregada el 8 de octubre de 2019
Teclados
Disponible para iPhone 6s y posteriores
Impacto: Un usuario local podía filtrar información confidencial del usuario.
Descripción: Se solucionó un problema de autenticación mejorando la administración de estados.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) de SAINTSEC
libxml2
Disponible para iPhone 6s y posteriores
Impacto: Varios problemas en libxml2.
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando la validación de entradas.
CVE-2019-8749: Detectado por OSS-Fuzz
CVE-2019-8756: Detectado por OSS-Fuzz
Entrada agregada el 8 de octubre de 2019
Mensajes
Disponible para iPhone 6s y posteriores
Impacto: Una persona con acceso físico a un dispositivo iOS podía acceder a los contactos desde la pantalla de bloqueo.
Descripción: El problema se solucionó restringiendo las opciones que se ofrecían en un dispositivo bloqueado.
CVE-2019-8742: videosdebarraquito
Notas
Disponible para iPhone 6s y posteriores
Impacto: Un usuario local podía ver las notas bloqueadas de un usuario.
Descripción: El contenido de notas bloqueadas a veces aparecía en los resultados de búsqueda. Este problema se solucionó mejorando la limpieza de datos.
CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) del Instituto Politécnico y la Universidad Estatal de Virginia
Entrada agregada el 8 de octubre de 2019
Vista rápida
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de un archivo creado con fines malintencionados podía revelar información del usuario.
Descripción: Existía un problema de permisos en el que los permisos de ejecución se otorgaban incorrectamente. Para solucionar este problema, se mejoró la validación de permisos.
CVE-2019-8731: Saif Hamed Hamdan Al Hinai de Oman National CERT, Yiğit Can YILMAZ (@yilmazcanyigit)
Safari
Disponible para iPhone 6s y posteriores
Impacto: Visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones.
Descripción: Se solucionó un problema de lógica mejorando la administración de estado.
CVE-2019-8727: Divyanshu Shukla (@justm0rph3u5)
Entrada actualizada el 8 de octubre de 2019
UIFoundation
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de un archivo de texto creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de desbordamiento de búferes mejorando la comprobación de límites.
CVE-2019-8745: riusksk de VulWar Corp en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 8 de octubre de 2019
WebKit
Disponible para iPhone 6s y posteriores
Impacto: El contenido web creado con fines malintencionados podía infringir la política de zona protegida de iFrame.
Descripción: Este problema se solucionó mejorando la aplicación de la zona protegida de iFrame.
CVE-2019-8771: Eliya Stein de Confiant
Entrada agregada el 8 de octubre de 2019
WebKit
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal.
Descripción: Se solucionó un problema de lógica mejorando la administración de estado.
CVE-2019-8625: Sergei Glazunov de Google Project Zero
CVE-2019-8719: Sergei Glazunov de Google Project Zero
Entrada agregada el 8 de octubre de 2019
WebKit
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2019-8707: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro; cc en colaboración con la iniciativa Zero Day de Trend Micro
CVE-2019-8720: Wen Xu de SSLab en Georgia Tech
CVE-2019-8726: Jihui Lu de Tencent KeenLab
CVE-2019-8733: Sergei Glazunov de Google Project Zero
CVE-2019-8735: G. Geshev en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 8 de octubre de 2019
WebKit
Disponible para iPhone 6s y posteriores
Impacto: Podía ocurrir que un usuario no pudiera eliminar elementos del historial de navegación.
Descripción: La opción “Borrar historial y datos de sitios web” no borraba todo el historial. Este problema se solucionó mejorando la eliminación de datos.
CVE-2019-8768: Hugo S. Diaz (coldpointblue)
Entrada agregada el 8 de octubre de 2019
Carga de la página WebKit
Disponible para iPhone 6s y posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal.
Descripción: Se solucionó un problema de lógica mejorando la administración de estado.
CVE-2019-8674: Sergei Glazunov de Google Project Zero
Entrada actualizada el 8 de octubre de 2019
Otros agradecimientos
Bluetooth
Nos gustaría darles las gracias a Jan Ruge de TU Darmstadt, Secure Mobile Networking Lab; a Jiska Classen de TU Darmstadt, Secure Mobile Networking Lab; a Francesco Gringoli de la Universidad de Brescia y a Dennis Heinze de TU Darmstadt, Secure Mobile Networking Lab por su ayuda.
boringssl
Nos gustaría darle las gracias a Thijs Alkemade (@xnyhps) de Computest por su ayuda.
Entrada agregada el 8 de octubre de 2019
Centro de control
Nos gustaría darle las gracias a Brandon Sellers por su ayuda.
Teclado
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Nos gustaría darle las gracias a Kenneth Hyndycz por su ayuda.
Perfiles
Nos gustaría darle las gracias a James Seeley (@Code4iOS) de Shriver Job Corps por su ayuda.
SafariViewController
Nos gustaría darle las gracias a Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.
WebKit
Nos gustaría darles las gracias a Yiğit Can YILMAZ (@yilmazcanyigit), a Zhihua Yao de DBAPPSecurity Zion Lab y a un investigador anónimo por su ayuda.
Entrada agregada el 8 de octubre de 2019