Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
watchOS 7.0
Publicado el 16 de septiembre de 2020
Audio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda leer la memoria restringida
Descripción: Se mejoró la comprobación de límites para solucionar un problema de lectura fuera de los límites.
CVE-2020-9943: JunDong Xie de Ant Group Light-Year Security Lab
Entrada agregada el 12 de noviembre de 2020
Audio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda leer la memoria restringida
Descripción: Se mejoró la comprobación de límites para solucionar un problema de lectura fuera de los límites.
CVE-2020-9944: JunDong Xie de Ant Group Light-Year Security Lab
Entrada agregada el 12 de noviembre de 2020
CoreAudio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados ocasione la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2020-9960: JunDong Xie y Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 16 de marzo de 2021
CoreAudio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: La reproducción de un archivo de audio creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
CVE-2020-9954: Francis en colaboración con la iniciativa Zero Day de Trend Micro, JunDong Xie de Ant Group Light-Year Security Lab
Entrada agregada el 12 de noviembre de 2020
CoreCapture
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2020-9949: Proteas
Entrada agregada el 12 de noviembre de 2020
CoreText
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo de texto creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2020-9999: Apple
Entrada agregada el 15 de diciembre de 2020
Disk Images
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2020-9965: Proteas
CVE-2020-9966: Proteas
Entrada agregada el 12 de noviembre de 2020
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Una app creada con fines malintencionados podía leer la memoria restringida.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2020-29629: Un investigador anónimo
Entrada agregada el 19 de enero de 2022
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: El procesamiento de un archivo de tipo de letra creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2020-9956: Mickey Jin y Junzhi Lu de Trend Micro Mobile Security Research Team en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 16 de marzo de 2021
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de búferes mejorando la validación de tamaños.
CVE-2020-9962: Yiğit Can YILMAZ (@yilmazcanyigit)
Entrada agregada el 16 de marzo de 2021
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Existía un problema de daños en la memoria en el procesamiento de archivos de tipos de letra. Para solucionar este problema, se mejoró la validación de entradas.
CVE-2020-27931: Apple
Entrada agregada el 16 de marzo de 2021
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un tipo de letra creado con fines malintencionados pueda ocasionar la divulgación de la memoria de un proceso
Descripción: Se mejoró la comprobación de límites para solucionar un problema de lectura fuera de los límites.
CVE-2020-29639: Mickey Jin y Qi Sun de Trend Micro en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 21 de julio de 2021
HomeKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Un atacante con una posición de red privilegiada podía alterar el estado de las apps de manera inesperada.
Descripción: Se mejoró la propagación de la configuración para solucionar este problema.
CVE-2020-9978: Luyi Xing, Dongfang Zhao y Xiaofeng Wang de la Universidad de Indiana Bloomington; Yan Jia de la Universidad de Xidian y la Universidad de la Academia de Ciencias de China, y Bin Yuan de la Universidad de Ciencia y Tecnología de HuaZhong
Entrada agregada el 16 de marzo de 2021
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2020-9961: Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 12 de noviembre de 2020
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2020-9876: Mickey Jin de Trend Micro
Entrada agregada el 12 de noviembre de 2020
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2020-9955: Mickey Jin de Trend Micro, Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 15 de diciembre de 2020
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante remoto pueda provocar el cierre inesperado del sistema o daños en la memoria del kernel
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando la validación de entradas.
CVE-2020-9967: Alex Plaskett (@alexjplaskett)
Entrada agregada el 16 de marzo de 2021
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2020-9975: Tielei Wang de Pangu Lab
Entrada agregada el 16 de marzo de 2021
Keyboard
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados divulgue información confidencial del usuario
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2020-9976: Rias A. Sherzad de JAIDE GmbH en Hamburgo, Alemania
libxml2
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2020-9981: Detectado por OSS-Fuzz
Entrada agregada el 12 de noviembre de 2020
libxpc
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2020-9971: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab
Entrada agregada el 15 de diciembre de 2020
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Un atacante remoto podía alterar el estado de las apps de manera inesperada.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2020-9941: Fabian Ising de la Universidad FH Münster de Ciencias Aplicadas y Damian Poddebniak de la Universidad FH Münster de Ciencias Aplicadas
Entrada agregada el 12 de noviembre de 2020
Messages
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Un usuario local podía ver los mensajes eliminados de un usuario.
Descripción: Este problema se solucionó mejorando la eliminación.
CVE-2020-9989: von Brunn Media
Entrada agregada el 12 de noviembre de 2020
Phone
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: El bloqueo de pantalla podía no iniciarse tras el período especificado.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2020-9946: Daniel Larsson de iolight AB
Safari
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones.
Descripción: Se mejoró el manejo de IU para solucionar el problema.
CVE-2020-9993: Masato Sugiyama (@smasato) de la Universidad de Tsukuba y Piotr Duszynski
Entrada agregada el 12 de noviembre de 2020
Sandbox
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Un usuario local podía visualizar la información confidencial de otro usuario.
Descripción: Se solucionó un problema de acceso a través de restricciones adicionales de la zona protegida.
CVE-2020-9969: Wojciech Reguła de SecuRing (wojciechregula.blog)
Entrada agregada el 12 de noviembre de 2020
Sandbox
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda obtener acceso a archivos restringidos
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2020-9968: Adam Chester (@_xpn_) de TrustedSec
Entrada actualizada el 17 de septiembre de 2020
SQLite
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante remoto pueda ocasionar una denegación de servicio
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2020-13434
CVE-2020-13435
CVE-2020-9991
Entrada agregada el 12 de noviembre de 2020
SQLite
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Varios problemas en SQLite.
Descripción: Se solucionaron varios problemas actualizando SQLite a la versión 3.32.3.
CVE-2020-15358
Entrada agregada el 12 de noviembre de 2020
SQLite
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante remoto pueda producir una fuga de memoria
Descripción: Se mejoró la administración de estados para solucionar un problema de divulgación de información.
CVE-2020-9849
Entrada agregada el 12 de noviembre de 2020
SQLite
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una consulta SQL creada con fines malintencionados pueda provocar daños en los datos
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2020-13631
Entrada agregada el 12 de noviembre de 2020
SQLite
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante remoto pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2020-13630
Entrada agregada el 12 de noviembre de 2020
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2020-9947: cc en colaboración con la iniciativa Zero Day de Trend Micro
CVE-2020-9950: cc en colaboración con la iniciativa Zero Day de Trend Micro
CVE-2020-9951: Marcin 'Icewall' Noga de Cisco Talos
Entrada agregada el 12 de noviembre de 2020
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2020-9983: zhunki
Entrada agregada el 12 de noviembre de 2020
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios
Descripción: Se solucionó un problema de validación de entradas mejorando la validación de entradas.
CVE-2020-9952: Ryan Pickren (ryanpickren.com)
Otros agradecimientos
Audio
Nos gustaría darles las gracias a JunDong Xie y Xingwei Lin de Ant-Financial Light-Year Security Lab por su ayuda.
Entrada agregada el 16 de marzo de 2021
Audio
Nos gustaría darles las gracias a JunDong Xie y XingWei Lin de Ant-Financial Light-Year Security Lab por su ayuda.
Entrada agregada el 12 de noviembre de 2020
Bluetooth
Nos gustaría darle las gracias a Andy Davis de NCC Group por su ayuda.
Clang
Nos gustaría darle las gracias a Brandon Azad de Google Project Zero por su ayuda.
Entrada agregada el 12 de noviembre de 2020
Core Location
Nos gustaría darle las gracias a Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.
Crash Reporter
Nos gustaría darle las gracias a Artur Byszko de AFINE por su ayuda.
Entrada agregada el 15 de diciembre de 2020
iAP
Nos gustaría darle las gracias a Andy Davis de NCC Group por su ayuda.
Entrada agregada el 12 de noviembre de 2020
Kernel
Nos gustaría darles las gracias a Brandon Azad de Google Project Zero y Stephen Röttger de Google por su ayuda.
Entrada actualizada el 12 de noviembre de 2020
libxml2
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Entrada agregada el 16 de marzo de 2021
Location Framework
Nos gustaría darle las gracias a Nicolas Brunner (linkedin.com/in/nicolas-brunner-651bb4128) por su ayuda.
Entrada actualizada el 19 de octubre de 2020
Mail Drafts
Nos gustaría darle las gracias a Jon Bottarini de HackerOne por su ayuda.
Entrada agregada el 12 de noviembre de 2020
Safari
Nos gustaría darles las gracias a Andreas Gutmann (@KryptoAndI) de Innovation Centre de OneSpan (onespan.com) y University College de Londres, Steven J. Murdoch (@SJMurdoch) de Innovation Centre de OneSpan (onespan.com) y University College de Londres, Jack Cable de Lightning Security, Ryan Pickren (ryanpickren.com) y Yair Amit por su ayuda.
Entrada agregada el 19 de octubre de 2020 y actualizada el 12 de noviembre de 2020
WebKit
Nos gustaría darles las gracias a Pawel Wylecial de REDTEAM.PL y Ryan Pickren (ryanpickren.com) por su ayuda.
Entrada agregada el 12 de noviembre de 2020