Acerca del contenido de seguridad de Safari 13.1.2

En este documento, se describe el contenido de seguridad de Safari 13.1.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

Safari 13.1.2

Safari

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones.

Descripción: Se solucionó un problema de interfaz de usuario inconsistente mejorando la administración de estado.

CVE-2020-9942: Un investigador anónimo, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) de The City School, PAF Chapter, Ruilin Yang de Tencent Security Xuanwu Lab, YoKo Kho (@YoKoAcc) de PT Telekomunikasi Indonesia (Persero) Tbk y Zhiyang Zeng(@Wester) de OPPO ZIWU Security Lab

Descargas de Safari

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante malintencionado podía cambiar el origen de un cuadro de una descarga en el modo de Lector de Safari.

Descripción: Se solucionó un problema de lógica mejorando las restricciones.

CVE-2020-9912: Nikhil Mittal (@c0d3G33k) de Payatu Labs (payatu.com)

Autorrelleno en el inicio de sesión en Safari

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante malintencionado podía hacer que Safari sugiriera una contraseña para el dominio incorrecto

Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.

CVE-2020-9903: Nikhil Mittal (@c0d3G33k) de Payatu Labs (payatu.com)

Lector de Safari

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un problema en el modo de Lector de Safari podía ocasionar que un atacante remoto lograra omitir la política del mismo origen

Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.

CVE-2020-9911: Nikhil Mittal (@c0d3G33k) de Payatu Labs (payatu.com)

WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2020-9894: 0011 en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: El procesamiento de contenido web creado con fines malintencionados podía impedir que se aplicaran las políticas de seguridad del contenido

Descripción: Existía un problema de acceso en las políticas de seguridad del contenido. Para solucionar este problema, se mejoraron las restricciones de acceso.

CVE-2020-9915: Ayoub AIT ELMOKHTAR de Noon

WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar un ataque de scripts de sitios universal

Descripción: para solucionar un problema de lógica Se mejoró la administración de estado.

CVE-2020-9925: Un investigador anónimo

WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2020-9893: 0011 en colaboración con la iniciativa Zero Day de Trend Micro

CVE-2020-9895: Wen Xu de SSLab, Georgia Tech

WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante malintencionado con una función de lectura y escritura arbitraria podía omitir la autenticación del puntero

Descripción: Se mejoró la lógica para solucionar varios problemas.

CVE-2020-9910: Samuel Groß de Google Project Zero

Carga de la página WebKit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante malintencionado podía ocultar el destino de una dirección URL

Descripción: Se mejoró la administración de estados para solucionar un problema de codificación Unicode de URL.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

Inspector web Webkit

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: La copia de una URL desde el inspector web podía provocar la inyección de comandos

Descripción: Existía un problema de inyección de comandos en el inspector web. Para solucionar este problema, se mejoró el escape de caracteres.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

Disponible para macOS Mojave y macOS High Sierra e incluido en macOS Catalina

Impacto: Un atacante con una posición de red privilegiada podía generar daños en la memoria del montón a través de una secuencia de SCTP.

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2020-6514: natashenka de Google Project Zero