Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
watchOS 9.3
Publicado el 23 de enero de 2023
AppleMobileFileIntegrity
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda omitir las preferencias de privacidad
Descripción: A fin de solucionar este problema, se mejoraron las comprobaciones para impedir las acciones no autorizadas.
CVE-2023-32438: Csaba Fitzl (@theevilbit) de Offensive Security y Mickey Jin (@patch1t)
Entrada agregada el 5 de septiembre de 2023
AppleMobileFileIntegrity
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía acceder a información confidencial del usuario.
Descripción: Para solucionar este problema, se activó la función Hardened Runtime.
CVE-2023-23499: Wojciech Regula de SecuRing (wojciechregula.blog)
Crash Reporter
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un usuario podía leer archivos arbitrarios como usuario raíz.
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2023-23520: Cees Elzinga
Entrada agregada el 6 de junio de 2023
FontParser
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de un archivo de tipo de letra podía ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 15.7.1.
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2023-41990: Apple
Entrada agregada el 8 de septiembre de 2023
ImageIO
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de una imagen podía provocar una denegación de servicio.
Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.
CVE-2023-23519: Meysam Firouzi @R00tkitSMM de Mbition Mercedes-Benz Innovation Lab, Yiğit Can YILMAZ (@yilmazcanyigit) y jzhu en colaboración con el programa Zero Day Initiative de Trend Micro
Entrada actualizada el 5 de septiembre de 2023
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía filtrar el estado confidencial del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-23500: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. (@starlabs_sg)
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda determinar la distribución de la memoria del kernel.
Descripción: Se solucionó un problema de divulgación de información eliminando el código vulnerable.
CVE-2023-23502: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. (@starlabs_sg)
Kernel
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-23504: Adam Doupé de ASU SEFCOM
Maps
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda omitir las preferencias de privacidad.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2023-23503: Un investigador anónimo
Safari
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Visitar un sitio web podría provocar la denegación de servicio de una app.
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2023-23512: Adriatik Raci
Screen Time
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Una app podía acceder a información sobre los contactos de un usuario.
Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.
CVE-2023-23505: Wojciech Reguła de SecuRing (wojciechregula.blog) y Csaba Fitzl (@theevilbit) de Offensive Security
Entrada actualizada el 6 de junio de 2023
Weather
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Es posible que una app pueda omitir las preferencias de privacidad.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-23511: Wojciech Regula de SecuRing (wojciechregula.blog), un investigador anónimo
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web podía provocar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 248885
CVE-2023-32393: Francisco Alonso (@revskills)
Entrada agregada el 28 de junio de 2023
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: Un documento HTML podía mostrar iframes con información confidencial del usuario.
Descripción: Se mejoró la aplicación de la zona protegida de iFrame para solucionar este problema.
WebKit Bugzilla: 241753
CVE-2022-0108: Luan Herrera (@lbherrera_)
Entrada agregada el 6 de junio de 2023
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 245464
CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren y Hang Shu del Institute of Computing Technology, Chinese Academy of Sciences
WebKit
Disponible para Apple Watch Series 4 y versiones posteriores
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 248268
CVE-2023-23518: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107), Dohyun Lee (@l33d0hyun) del Team ApplePIE
WebKit Bugzilla: 248268
CVE-2023-23517: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107), Dohyun Lee (@l33d0hyun) del Team ApplePIE
Otros agradecimientos
AppleMobileFileIntegrity
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
Entrada agregada el 6 de junio de 2023
Core Data
Nos gustaría darle las gracias a Austin Emmitt (@alkalinesec), investigador sénior de seguridad en Trellix Advanced Research Center, por su ayuda.
Entrada agregada el 8 de septiembre de 2023
Kernel
Nos gustaría darle las gracias a Nick Stenning de Replicate por su ayuda.
WebKit
Nos gustaría darle las gracias a Eliya Stein de Confiant por su ayuda.