Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
watchOS 9
Publicado el 12 de septiembre de 2022
Accelerate Framework
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2022-42795: ryuzaki
AppleAVD
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-32907: Natalie Silvanovich de Google Project Zero, Antonio Zekic (@antoniozekic) y John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Apple Neural Engine
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía filtrar el estado confidencial del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-32858: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-32898: Mohamed Ghannam (@_simo36)
CVE-2022-32899: Mohamed Ghannam (@_simo36)
CVE-2022-32889: Mohamed Ghannam (@_simo36)
Contacts
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía omitir las preferencias de privacidad.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-32854: Holger Fuhrmannek de Deutsche Telekom Security
Exchange
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario en una posición de red privilegiada podía interceptar credenciales de correo.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2022-32928: Jiří Vinopal (@vinopaljiri) de Check Point Research
Entrada actualizada el 8 de junio de 2023
GPU Drivers
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.
CVE-2022-32903: Un investigador anónimo
ImageIO
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de una imagen podía provocar una denegación de servicio.
Descripción: Para solucionar un problema de denegación de servicio, se mejoró la validación.
CVE-2022-1622
Image Processing
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app aislada podía determinar qué app estaba usando la cámara en un momento determinado.
Descripción: Para solucionar el problema, se agregaron restricciones en la observabilidad de los estados de las apps.
CVE-2022-32913: Yiğit Can YILMAZ (@yilmazcanyigit)
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía divulgar la memoria del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-32864: Linus Henze de Pinauten GmbH (pinauten.de)
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-32866: Linus Henze de Pinauten GmbH (pinauten.de)
CVE-2022-32911: Zweig de Kunlun Lab
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.
CVE-2022-32914: Zweig de Kunlun Lab
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2022-32894: Un investigador anónimo
Maps
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía obtener acceso a información confidencial de ubicación.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2022-32883: Ron Masas de breakpointhq.com
MediaLibrary
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario podía aumentar los privilegios.
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2022-32908: Un investigador anónimo
Notifications
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario con acceso físico a un dispositivo podía acceder a los contactos desde la pantalla de bloqueo.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-32879: Ubeydullah Sümer
Sandbox
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía modificar partes protegidas del sistema de archivos.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2022-32881: Csaba Fitzl (@theevilbit) de Offensive Security
Siri
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario con acceso físico a un dispositivo podía usar Siri para obtener cierta información del historial de llamadas.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-32870: Andrew Goldberg de The McCombs School of Business, Universidad de Texas en Austin (linkedin.com/in/andrew-goldberg-/)
SQLite
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario remoto podía causar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-36690
Watch app
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda leer un identificador de dispositivo persistente
Descripción: Se mejoraron los derechos para solucionar este problema.
CVE-2022-32835: Guilherme Rambo de Best Buddy Apps (rambo.codes)
Weather
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía obtener acceso a información confidencial de ubicación.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-32875: Un investigador anónimo
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
WebKit Bugzilla: 241969
CVE-2022-32886: P1umer (@p1umer), afang (@afang5472), xmzyshypnc (@xmzyshypnc1)
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
WebKit Bugzilla: 242047
CVE-2022-32888: P1umer (@p1umer)
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
WebKit Bugzilla: 242762
CVE-2022-32912: Jeonghoon Shin (@singi21a) de Theori en colaboración con la iniciativa Zero Day de Trend Micro
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Visitar un sitio web con contenido malicioso podía provocar una suplantación en la interfaz del usuario.
Descripción: Este problema se solucionó mejorando el manejo de IU.
WebKit Bugzilla: 243236
CVE-2022-32891: @real_as3617, investigador anónimo
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
WebKit Bugzilla: 243557
CVE-2022-32893: Un investigador anónimo
Wi-Fi
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2022-46709: Wang Yu de Cyberserval
Entrada agregada el 8 de junio de 2023
Wi-Fi
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía provocar el cierre inesperado del sistema o escribir la memoria del kernel.
Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.
CVE-2022-32925: Wang Yu de Cyberserval
Otros agradecimientos
AppleCredentialManager
Nos gustaría darle las gracias a @jonathandata1 por su ayuda.
FaceTime
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Kernel
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Safari
Nos gustaría agradecer a Scott Hatfield de Sub-Zero Group por su ayuda.
Entrada agregada el 8 de junio de 2023
Sandbox
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
UIKit
Nos gustaría darle las gracias a Aleczander Ewing por su ayuda.
WebKit
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
WebRTC
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.