Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Big Sur 11.5
Publicado el 21 de julio de 2021
AMD Kernel
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2021-30805: ABC Research s.r.o
Analytics
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda acceder a los datos de análisis
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30871: Denis Tokarev (@illusionofcha0s)
Entrada agregada el 25 de octubre de 2021 y actualizada el 25 de mayo de 2022
AppKit
Disponible para macOS Big Sur
Impacto: Es posible que la apertura de un archivo creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se solucionó un problema de divulgación de información eliminando el código vulnerable.
CVE-2021-30790: hjy79425575 en colaboración con la iniciativa Zero Day de Trend Micro
App Store
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda omitir ciertas preferencias de privacidad
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-31006: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de mayo de 2022
Audio
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30781: tr3e
AVEVideoEncoder
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30748: George Nosenko
CoreAudio
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados ocasione la ejecución de código arbitrario
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30775: JunDong Xie de Ant Security Light-Year Lab
CoreAudio
Disponible para macOS Big Sur
Impacto: Es posible que la reproducción de un archivo de audio creado con fines malintencionados pueda ocasionar el cierre inesperado de una app
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30776: JunDong Xie de Ant Security Light-Year Lab
CoreGraphics
Disponible para macOS Big Sur
Impacto: Es posible que la apertura de un archivo PDF creado con fines malintencionados pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2021-30786: ryuzaki
CoreServices
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30772: Zhongcheng Li (CK01)
CoreServices
Disponible para macOS Big Sur
Impacto: Es posible que un proceso aislado pueda eludir las restricciones de la zona protegida
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2021-30783: Ron Waisberg (@epsilan)
CoreStorage
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se solucionó un problema de inyección mejorando la validación.
CVE-2021-30777: Tim Michaud (@TimGMichaud) de Zoom Video Communications y Gary Nield de ECSC Group plc
CoreText
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30789: Mickey Jin (@patch1t) de Trend Micro y Sunglin de Knownsec 404 Team
Crash Reporter
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30774: Yizhuo Wang de Group of Software Security In Progress (G.O.S.S.I.P) de la Universidad Jiao Tong de Shanghái
CVMS
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2021-30780: Tim Michaud (@TimGMichaud) de Zoom Video Communications
dyld
Disponible para macOS Big Sur
Impacto: Es posible que un proceso aislado pueda eludir las restricciones de la zona protegida
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30768: Linus Henze (pinauten.de)
Family Sharing
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda acceder a datos sobre las cuentas con las que el usuario usaba Compartir en familia
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30817: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de octubre de 2021
Find My
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener acceso a los datos de Encontrar
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30804: Csaba Fitzl (@theevilbit) de Offensive Security, Wojciech Reguła (@_r3ggi) de SecuRing
Entrada agregada el 22 de diciembre de 2022 y actualizada el 2 de mayo de 2023
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2021-30760: Sunglin de Knownsec 404 Team
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo TIFF creado con fines malintencionados pueda ocasionar una denegación de servicio o revelar el contenido de la memoria
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30788: tr3e en colaboración con la iniciativa Zero Day de Trend Micro
FontParser
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de pila mejorando la validación de entradas.
CVE-2021-30759: hjy79425575 en colaboración con la iniciativa Zero Day de Trend Micro
Identity Services
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda acceder a los contactos recientes del usuario
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30803: Matt Shockley (twitter.com/mattshockl), Csaba Fitzl (@theevilbit) de Offensive Security
Entrada actualizada el 18 de noviembre de 2021
ImageIO
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30779: Jzhu y Ye Zhang (@co0py_Cat) de Baidu Security
ImageIO
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.
CVE-2021-30785: CFF de Topsec Alpha Team y Mickey Jin (@patch1t) de Trend Micro
Intel Graphics Driver
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o escribir la memoria del kernel
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30787: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro
Intel Graphics Driver
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30766: Liu Long de Ant Security Light-Year Lab
CVE-2021-30765: Yinyi Wu (@3ndy1) de Qihoo 360 Vulcan Team, Liu Long de Ant Security Light-Year Lab
Entrada actualizada el 18 de noviembre de 2021
IOKit
Disponible para macOS Big Sur
Impacto: Es posible que un atacante local pueda ejecutar código en el chip de seguridad T2 de Apple
Descripción: Se mejoró la lógica para solucionar varios problemas.
CVE-2021-30784: George Nosenko
Kernel
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30793: Zuozhi Fan (@pattern_F_) de Ant Security TianQiong Lab
Kext Management
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda omitir las preferencias de privacidad
Descripción: Se mejoraron los derechos para solucionar este problema.
CVE-2021-30778: Csaba Fitzl (@theevilbit) de Offensive Security
LaunchServices
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda salir de su zona protegida
Descripción: Para solucionar este problema, se mejoró el saneamiento del entorno.
CVE-2021-30677: Ron Waisberg (@epsilan)
Entrada agregada el 25 de octubre de 2021
libxml2
Disponible para macOS Big Sur
Impacto: Es posible que un atacante remoto pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-3518
Model I/O
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar una denegación de servicio
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30796: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30792: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro
Model I/O
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda revelar información del usuario
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30791: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro
Networking
Disponible para macOS Big Sur
Impacto: Es posible que visitar una página web creada con fines malintencionados pueda ocasionar una denegación de servicio por parte del sistema
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1821: Georgi Valkov (httpstorm.com)
Entrada agregada el 25 de octubre de 2021
Sandbox
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda obtener acceso a archivos restringidos
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30782: Csaba Fitzl (@theevilbit) de Offensive Security
Security
Disponible para macOS Big Sur
Impacto: Es posible que una app pueda obtener privilegios elevados
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-31004: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de mayo de 2022
TCC
Disponible para macOS Big Sur
Impacto: Es posible que una app creada con fines malintencionados pueda omitir ciertas preferencias de privacidad
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30798: Mickey Jin (@patch1t) de Trend Micro en colaboración con la iniciativa Zero Day de Trend Micro
Entrada actualizada el 18 de noviembre de 2021
WebKit
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
CVE-2021-30758: Christoph Guttandin de Media Codings
WebKit
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30795: Sergei Glazunov de Google Project Zero
WebKit
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30797: Ivan Fratric de Google Project Zero
WebKit
Disponible para macOS Big Sur
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30799: Sergei Glazunov de Google Project Zero
Otros agradecimientos
configd
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
CoreText
Nos gustaría darle las gracias a Mickey Jin (@patch1t) de Trend Micro por su ayuda.
crontabs
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
Power Management
Nos gustaría darles las gracias a Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit), Lisandro Ubiedo (@_lubiedo) de Stratosphere Lab
Entrada agregada el 22 de diciembre de 2022
Sandbox
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
Spotlight
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
sysdiagnose
Nos gustaría darles las gracias a Carter Jones (linkedin.com/in/carterjones/) y a Tim Michaud (@TimGMichaud) de Zoom Video Communications por su ayuda.
Entrada agregada el 25 de mayo de 2022