Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
tvOS 14.6
Publicado el 24 de mayo de 2021
Audio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados ocasione la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30707: hjy79425575 en colaboración con la iniciativa Zero Day de Trend Micro
Audio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el análisis de un archivo de audio creado con fines malintencionados derive en la divulgación de información del usuario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30685: Mickey Jin (@patch1t) de Trend Micro
CoreAudio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados revele memoria restringida
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30686: Mickey Jin de Trend Micro
CoreText
Disponible para Apple TV 4K y Apple TV HD
Impacto: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
Descripción: El procesamiento de un tipo de letra creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.
CVE-2021-30753: Xingwei Lin de Ant Security Light-Year Lab
CVE-2021-30733: Sunglin del equipo de Knownsec 404
Entrada agregada el 21 de julio de 2021
Crash Reporter
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados pueda modificar partes protegidas del sistema de archivos
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30727: Cees Elzinga
CVMS
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un atacante local podía aumentar sus privilegios.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30724: Mickey Jin (@patch1t) de Trend Micro
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30771: Mickey Jin (@patch1t) de Trend Micro y CFF de Topsec Alpha Team
Entrada agregada el 19 de enero de 2022
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
Descripción: El procesamiento de un tipo de letra creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.
CVE-2021-30755: Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 21 de julio de 2021
Heimdal
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que un usuario local pueda filtrar información confidencial del usuario
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30697: Gabe Kirkpatrick (@gabe_k)
Heimdal
Disponible para Apple TV 4K y Apple TV HD
Impacto: Una app creada con fines malintencionados podía ocasionar una denegación de servicio o revelar el contenido de la memoria.
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30710: Gabe Kirkpatrick (@gabe_k)
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la divulgación de información del usuario.
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30687: Hou JingYi (@hjy79425575) de Qihoo 360
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la divulgación de información del usuario.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30700: Ye Zhang (@co0py_Cat) de Baidu Security
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30701: Mickey Jin (@patch1t) de Trend Micro y Ye Zhang de Baidu Security
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de un archivo ASTC creado con fines malintencionados podía revelar el contenido de la memoria.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30705: Ye Zhang de Baidu Security
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: Para solucionar este problema, se mejoraron las comprobaciones.
Descripción: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la divulgación de información del usuario.
CVE-2021-30706: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro, Jzhu en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 21 de julio de 2021
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30740: Linus Henze (pinauten.de)
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30704: Un investigador anónimo
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un mensaje creado con fines malintencionados pueda provocar una denegación de servicio
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30715: National Cyber Security Centre (NCSC) del Reino Unido
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de desbordamiento de búferes mejorando la validación de tamaños.
CVE-2021-30736: Ian Beer de Google Project Zero
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Se mejoró la administración de la memoria para solucionar un problema de doble liberación.
Descripción: Una app podía ejecutar código arbitrario con privilegios del kernel.
CVE-2021-30703: Un investigador anónimo
Entrada agregada el 21 de julio de 2021
LaunchServices
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados pueda salir de su zona protegida
Descripción: Para solucionar este problema, se mejoró el saneamiento del entorno.
CVE-2021-30677: Ron Waisberg (@epsilan)
Security
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un certificado creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se eliminó el código vulnerable para solucionar un problema de daños en la memoria en el decodificador ASN.1.
CVE-2021-30737: xerub
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30665: yangkang (@dnpushme) &zerokeeper&bianliang de 360 ATA
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal.
Descripción: Se solucionó un problema de origen cruzado con elementos de iFrame luego de mejorar el seguimiento de los orígenes de seguridad.
CVE-2021-30744: Dan Hite de jsontop
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-21779: Marcin Towalski de Cisco Talos
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados divulgue información confidencial del usuario
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30682: Un investigador anónimo y 1lastBr3ath
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios universal
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30689: Un investigador anónimo
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30749: Un investigador anónimo y mipu94 del laboratorio SEFCOM de la Universidad Estatal de Arizona en colaboración con la iniciativa Zero Day de Trend Micro
CVE-2021-30734: Jack Dates de RET2 Systems, Inc. (@ret2systems) en colaboración con la iniciativa Zero Day de Trend Micro
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un sitio web creado con fines malintencionados podía acceder a puertos restringidos en servidores arbitrarios.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30720: David Schütz (@xdavidhu)
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de enteros.
CVE-2021-30663: Un investigador anónimo
Otros agradecimientos
ImageIO
Nos gustaría darles las gracias a Jzhu en colaboración con la iniciativa Zero Day de Trend Micro y a un investigador anónimo por su ayuda.
WebKit
Nos gustaría darle las gracias a Chris Salls (@salls) de Makai Security por su ayuda.