Acerca del contenido de seguridad de OS X Mavericks 10.9

En este documento se describe el contenido de seguridad de OS X Mavericks v10.9.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información sobre la seguridad de los productos Apple, consulta el sitio web Seguridad de los productos Apple.

Para obtener más información sobre la clave PGP de seguridad de los productos Apple, consulta Cómo utilizar la clave PGP de seguridad de los productos Apple.

Siempre que sea posible, se utilizan ID CVE para hacer referencia a las vulnerabilidades a fin de obtener más información.

Para obtener información sobre otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.

OS X Mavericks v10.9

• Firewall de aplicaciones

  Impacto: es posible que socketfilterfw --blockApp no impida que las aplicaciones reciban conexiones de red

  Descripción: La opción --blockApp de la herramienta de línea de comandos socketfilterfw no bloqueaba debidamente las aplicaciones para que no recibieran conexiones de red. Este problema se solucionó al mejorar la administración de las opciones --blockApp.

  ID CVE

  CVE-2013-5165: Alexander Frangis, de PopCap Games

• Sandbox de apps

  Impacto: Es posible que la sandbox de apps sea omitida

  Descripción: La interfaz LaunchServices para lanzar una aplicación permitía a las apps aisladas especificar la lista de argumentos transmitida al nuevo proceso. Una aplicación aislada vulnerable podía utilizar esto para omitir la aislación. El problema se solucionó al impedir que las aplicaciones aisladas especifiquen argumentos.

  ID CVE

  CVE-2013-5179: Friedrich Graeter, de The Soulmen GbR

• Bluetooth

  Impacto: Una aplicación local malintencionada podía provocar la finalización inesperada del sistema

  Descripción: El controlador host USB Bluetooth eliminaba interfaces necesarias para operaciones posteriores. El problema se solucionó al conservar la interfaz hasta que ya no se necesite.

  ID CVE

  CVE-2013-5166: Stefano Bianchi Mazzone, Mattia Pagnozzi y Aristide Fattori, de Computer and Network Security Lab (LaSER), Università degli Studi di Milano

• CFNetwork

  Impacto: Las cookies de sesión pueden persistir incluso tras restablecer Safari

  Descripción: Restablecer Safari no siempre eliminaba las cookies de sesión hasta que Safari se cerraba. El problema se solucionó al mejorar la gestión de las cookies de sesión.

  ID CVE

  CVE-2013-5167: Graham Bennett, Rob Ansaldo, de Amherst College

• CFNetwork SSL

  Impacto: Un atacante podía descifrar parte de una conexión SSL

  Descripción: Solo se empleaban las versiones SSLv3 y TLS 1.0 de SSL. Estas versiones adolecen de una debilidad de protocolo cuando usan cifrados por bloques. Un atacante intermediario podría haber inyectado datos no válidos, provocando que la conexión se cerrara, pero revelando alguna información sobre los datos anteriores. Si se intentaba realizar la misma conexión varias veces, el atacante podía llegar a descifrar los datos que se enviaban, como una contraseña. Este problema se solucionó al habilitar TLS 1.2.

  ID CVE

  CVE-2011-3389

• Consola

  Impacto: Hacer clic en una entrada de registro maliciosa podía provocar la ejecución inesperada de aplicaciones

  Descripción: Esta actualización modifica el comportamiento de Consola cuando se hace clic en una entrada de registro con una URL adjunta. En lugar de abrir la URL, Consola muestra ahora una vista previa de la URL con Vista Rápida.

  ID CVE

  CVE-2013-5168: Aaron Sigel, de vtty.com

• CoreGraphics

  Impacto: Podían verse ventanas sobre la pantalla bloqueada después de que la pantalla entrase en reposo

  Descripción: Existía una problema lógico en la gestión del modo de reposo de pantalla por parte de CoreGraphics que ocasionaba daño de datos, lo cual podría a su vez hacer que se vieran ventanas sobre la pantalla bloqueada. El problema se solucionó al mejorar la gestión del reposo de la pantalla.

  ID CVE

  CVE-2013-5169

• CoreGraphics

  Impacto: Visualizar un archivo PDF creado con fines malintencionados podía provocar la finalización inesperada de la aplicación o la ejecución de código arbitrario

  Descripción: Existía un desbordamiento del búfer en la gestión de archivos PDF. Este problema se solucionó mejorando la comprobación de los límites.

  ID CVE

  CVE-2013-5170: Will Dormann, de CERT/CC

• CoreGraphics

  Impacto: Una aplicación sin privilegios podía ser capaz de registrar pulsaciones de teclas introducidas en otras aplicaciones incluso cuando estaba habilitado el modo de entrada seguro

  Descripción: Mediante el registro para un evento de tecla de acceso rápido. una aplicación sin privilegios podía registrar las pulsaciones de teclas introducidas en otras aplicaciones incluso cuando estaba habilitado el modo de entrada seguro. Este problema se solucionó mediante la validación adicional de eventos de tecla de acceso rápido.

  ID CVE

  CVE-2013-5171

• curl

  Impacto: Múltiples vulnerabilidades en curl

  Descripción: Existían múltiples vulnerabilidades en curl, la más grave de las cuales podría provocar la ejecución de código arbitrario. Estos problemas se solucionar al actualizar curl a la versión 7.30.0.

  ID CVE

  CVE-2013-0249

  CVE-2013-1944

• dyld

  Impacto: Un atacante que dispusiera de ejecución de código arbitrario en un dispositivo podía ser capaz de continuar ejecutando el código tras los reinicios

  Descripción: Existían múltiples desbordamientos de búfer en la función openSharedCacheFile() de dyld. Estos problemas se solucionar al mejorar la comprobación de los límites.

  ID CVE

  CVE-2013-3950: Stefan Esser

• IOKitUser

  Impacto: Una aplicación local malintencionada podía provocar la finalización inesperada del sistema

  Descripción: Existía una falta de referencia a un puntero nulo en IOCatalogue. El problema se solucionó mediante comprobaciones de tipo adicionales.

  ID CVE

  CVE-2013-5138: Will Estes

• IOSerialFamily

  Impacto: La ejecución de una aplicación malintencionada podía provocar la ejecución de código arbitrario en el kernel

  Descripción: Existía un acceso a una matriz fuera de los límites en el driver IOSerialFamily. Este problema se solucionó mejorando la comprobación de los límites.

  ID CVE

  CVE-2013-5139: @dent1zt

• Kernel

  Impacto: El uso de funciones resumen SHA-2 en el kernel podía provocar la finalización inesperada del sistema

  Descripción: Se utilizaba una longitud de salida incorrecta para la familia SHA-2 de funciones resumen, lo que resultaba en un fallo de kernel cuando se empleaban dichas funciones, principalmente durante conexiones IPSec. El problema se solucionó al emplear la longitud de salida adecuada.

  ID CVE

  CVE-2013-5172: Christoph Nadig, de Lobotomo Software

• Kernel

  Impacto: La memoria de pila del kernel podía ser revelada a los usuarios locales

  Descripción: Existía un problema de divulgación de información en las API msgctl y segctl. Este problema se solucionó mediante la inicialización de estructuras de datos devueltas por el kernel.

  ID CVE

  CVE-2013-5142: Kenzley Alphonse, de Kenx Technology, Inc.

• Kernel

  Impacto: Un usuario local podía provocar una denegación de servicio

  Descripción: El generador de números aleatorios del kernel mantenía un bloqueo mientras satisfacía una petición de userspace, permitiendo a un usuario local realizar una petición de gran tamaño y mantener el bloqueo durante largos periodos de tiempo, denegando el servicio a otros usuarios del generador de números aleatorios. El problema se solucionó al liberar y volver adquirir el bloqueo para peticiones de gran tamaño con más frecuencia.

  ID CVE

  CVE-2013-5173: Jaakko Pero, de Aalto University

• Kernel

  Impacto: Un usuario local sin privilegios podía ser capaz de provocar la finalización inesperada del sistema

  Descripción: Existía un problema de signo de enteros en la gestión de lecturas tty. El problema se solucionó al mejorar la gestión de lecturas tty.

  ID CVE

  CVE-2013-5174: CESG

• Kernel

  Impacto: Un usuario local podía ser capaz de provocar la divulgación de información de memoria del kernel o la finalización inesperada del sistema

  Descripción: Existía un problema de lectura fuera de los límites en la gestión de archivos Mach-O. Este problema se solucionó mejorando la comprobación de los límites.

  ID CVE

  CVE-2013-5175

• Kernel

  Impacto: Un usuario local podía provocar un cuelgue del sistema

  Descripción: Existía un problema de truncado de enteros en la gestión de dispositivos tty. Este problema se solucionó mejorando la comprobación de los límites.

  ID CVE

  CVE-2013-5176: CESG

• Kernel

  Impacto: Un usuario local podía provocar la finalización inesperada del sistema

  Descripción: El kernel sufría un fallo cuando se detectaba una estructura iovec no válida suministrada por un usuario. Este problema se solucionó al mejorar la validación de estructuras iovec.

  ID CVE

  CVE-2013-5177: CESG

• Kernel

  Impacto: Los procesos sin privilegios podían provocar la finalización inesperada del sistema o la ejecución de código arbitrario en el kernel

  Descripción: Existía un problema de corrupción de memoria en la gestión de argumentos para la API posix_spawn. Este problema se solucionó mejorando la comprobación de los límites.

  ID CVE

  CVE-2013-3954: Stefan Esser

• Kernel

  Impacto: Un programa multidifusión de fuente concreta podía provocar la finalización inesperada del sistema al usarse una red Wi-Fi

  Descripción: Existía un problema con la comprobación de errores en la gestión de paquetes multidifusión. El problema se solucionó al mejorar la gestión de paquetes multidifusión.

  ID CVE

  CVE-2013-5184: Octoshape

• Kernel

  Impacto: Un atacante en una red local podía provocar una denegación de servicio

  Descripción: Un atacante en una red local podía enviar paquetes ICMP IPv6 especialmente diseñados y provocar una alta carga de CPU. Este problema se solucionó al mejorar la velocidad de paquetes ICMP antes de verificar su suma de control.

  ID CVE

  CVE-2011-2391: Marc Heuse

• Kernel

  Impacto: Una aplicación local malintencionada podía provocar un cuelgue del sistema

  Descripción: Existía un problema con el truncado de enteros en la interfaz del socket del kernel que podía aprovecharse para obligar a la CPU a entrar en un bucle infinito. El problema se solucionó al emplear una variable de mayor tamaño.

  ID CVE

  CVE-2013-5141: CESG

• Kext Management

  Impacto: Un proceso no autorizado puede desactivar algunas extensiones del kernel cargadas

  Descripción: Existía un problema en la gestión de mensajes IPC de remitentes no autenticados por parte de kext management. Este problema se solucionó al agregar comprobaciones adicionales de autorización.

  ID CVE

  CVE-2013-5145: "Rainbow PRISM"

• LaunchServices

  Impacto: Un archivo podía mostrar una extensión incorrecta

  Descripción: Existía un problema en la gestión de determinados caracteres unicode que podía permitir que los nombres de archivo mostraran extensiones incorrectas. El problema se solucionó al filtrar los caracteres unicode no seguros para que no se muestren en los nombres de archivo.

  ID CVE

  CVE-2013-5178: Jesse Ruderman, de Mozilla Corporation; Stephane Sudre, de Intego

• Libc

  Impacto: En circunstancias muy poco habituales, algunos números aleatorios podían ser predecibles

  Descripción: Si el generador de números aleatorios del kernel no estaba disponible para srandomdev(), la función recurría a un método alternativo que había sido eliminado por motivos de optimización, provocando una falta de aleatorización. El problema se solucionó al modificar el código para que sea correcto de acuerdo con la optimización.

  ID CVE

  CVE-2013-5180: Xi Wang

• Cuentas de Mail

  Impacto: Mail podía no elegir el método de autenticación más seguro disponible

  Descripción: Al configurar automáticamente una cuenta de correo en determinados servidores de correo, la app Mail elegía la autenticación de texto simple en vez de la autenticación CRAM-MD5. El problema se solucionó al mejorar la gestión lógica.

  ID CVE

  CVE-2013-5181

• Visualización de encabezados de Mail

  Impacto: Un mensaje sin firmar podía aparecer como correctamente firmado.

  Descripción: Existía una problema lógico en la gestión por parte de Mail de mensajes sin firmar que pese a ello contuvieran una parte multipart/signed . El problema se solucionó al mejorar la gestión de mensajes sin firmar.

  ID CVE

  CVE-2013-5182: Michael Roitzsch, de Technische Universität Dresden

• Conexiones de red de Mail

  Impacto: La información podía transferirse brevemente en texto simple cuando se configuraba un cifrado no TLS.

  Descripción: Cuando la autenticación Kerberos estaba activada y la Seguridad de la capa de transporte (TLS) estaba desactivada, Mail enviaba algunos datos sin cifrar al servidor de correo, provocando la finalización inesperada de la conexión. El problema se solucionó al mejorar la gestión de esta configuración.

  ID CVE

  CVE-2013-5183: Richard E. Silverman, de www.qoxp.net

• OpenLDAP

  Impacto: La herramienta de la línea de comandos ldapsearch no respetaba la configuración de minssf

  Descripción: La herramienta de la línea de comandos ldapsearch no respetaba la configuración de minssf, lo que podía provocar la aceptación inesperada de un cifrado débil. El problema se solucionó al mejorar la gestión de la configuración minssf.

  ID CVE

  CVE-2013-5185

• perl

  Impacto: Los scripts Perl podían ser vulnerables ante una denegación de servicio

  Descripción: El mecanismo de rehash en versiones obsoletas de Perl podía ser vulnerable a denegaciones de servicio en scripts que usaban entrada no fiable como llave del hash. El problema se solucionó al actualizar a Perl 5.16.2.

  ID CVE

  CVE-2013-1667

• Administración de la alimentación

  Impacto: El bloqueo de pantalla podía no iniciarse tras el período de tiempo especificado

  Descripción: Existía un problema de bloqueo en la administración de aserción de alimentación. El problema se solucionó al mejorar la gestión de bloqueos.

  ID CVE

  CVE-2013-5186: David Herman, de Sensible DB Design

• python

  Impacto: Múltiples vulnerabilidades en python 2.7

  Descripción: Existían múltiples vulnerabilidades en python 2.7.2, la más grave de las cuales podía provocar que se descifrara el contenido de una conexión SSL. Esta actualización soluciona los problemas actualizando python a la versión 2.7.5. Encontrarás información adicional en el sitio web de python: http://www.python.org/download/releases/

  ID CVE

  CVE-2011-3389

  CVE-2011-4944

  CVE-2012-0845

  CVE-2012-0876

  CVE-2012-1150

• python

  Impacto: Múltiples vulnerabilidades en python 2.6

  Descripción: Existían múltiples vulnerabilidades en python 2.6.7, la más grave de las cuales podía provocar que se descifrara el contenido de una conexión SSL. Esta actualización soluciona los problemas actualizando python a la versión 2.6.8 y aplicando el parche para CVE-2011-4944 del proyecto Python. Para obtener más información, visita el sitio web de python en http://www.python.org/download/releases/

  ID CVE

  CVE-2011-3389

  CVE-2011-4944

  CVE-2012-0845

  CVE-2012-0876

  CVE-2012-1150

• ruby

  Impacto: Un atacante con una posición de red privilegiada podía interceptar credenciales de usuario u otra información confidencial

  Descripción: Existía un problema de validación de los nombres de servidor en la gestión de certificados SSL por parte de Ruby. Este problema se solucionó al actualizar Ruby a la versión 2.0.0p247.

  ID CVE

  CVE-2013-4073

• Seguridad

  Impacto: La compatibilidad con certificados X.509 con hashes MD5 podía exponer a los usuarios a falsificaciones y a la divulgación de información a medida que los ataques mejoran

  Descripción: OS X aceptaba los certificados firmados empleando el algoritmo de hashes MD5. Este algoritmo adolece de debilidades criptográficas conocidas. La investigación o una entidad certificadora mal configurada podrían haber permitido la creación de certificados X.509 con valores controlados por el atacante en los que el sistema confiaría. Esto podría haber dejado expuestos protocolos basados en X.509 a falsificaciones, ataques de intermediarios y revelación de información confidencial. Esta actualización deshabilita la compatibilidad con todo certificado X.509 con un hash MD5 a excepción de los que se usen como certificado raíz de confianza.

  ID CVE

  CVE-2011-3427

• Seguridad - Autorización

  Impacto: Las preferencias de seguridad de un administrador podían no respetarse

  Descripción: El ajuste "Solicitar una contraseña de administrador para acceder a las preferencias del sistema con íconos de candado" permite a los administradores agregar una capa de protección adicional a ajustes del sistema delicados. En algunos casos en los que un administrador había habilitado este ajuste, aplicar una actualización o mejor de software podía deshabilitar a posteriori el ajuste. El problema se solucionó al mejorar la gestión de derechos de autorización.

  ID CVE

  CVE-2013-5189: Greg Onufer

• Seguridad - Servicios de tarjetas inteligentes

  Impacto: Los servicios de tarjetas inteligentes podían no estar disponibles cuando se habilitaban las comprobaciones de revocación de certificados

  Descripción: Existía un problema en la gestión de comprobaciones de revocación de certificados de tarjetas inteligentes por parte de OS X. El problema se solucionó al mejorar la compatibilidad de la revocación de certificados.

  ID CVE

  CVE-2013-5190: Yongjun Jeon, de Centrify Corporation

• Bloqueo de pantalla

  Impacto: El comando "Bloquear pantalla" podía no activarse inmediatamente

  Descripción: El comando "Bloquear pantalla" en el elemento estado del llavero de la barra de menús no tenía efecto hasta que transcurría el tiempo especificado en "Solicitar contraseña [tiempo] tras iniciarse el reposo o el salvapantallas".

  ID CVE

  CVE-2013-5187: Michael Kisor of OrganicOrb.com, Christian Knappskog, de NTNU (Norwegian University of Science and Technology); Stefan Grönke (CCC Trier), Patrick Reed

• Bloqueo de pantalla

  Impacto: Una Mac en hibernación con inicio de sesión automático podía no solicitar una contraseña para activarse

  Descripción: Una Mac con hibernación e inicio de sesión automático activados podía permitir la activación desde el estado de hibernación sin solicitar la contraseña. Este problema se solucionó al mejorar la gestión de bloqueos.

  ID CVE

  CVE-2013-5188: Levi Musters

• Servidor de Compartir pantalla

  Impacto: Un atacante remoto podía provocar la ejecución de código arbitrario

  Descripción: Existía una vulnerabilidad de cadena de formato en la gestión del nombre de usuario VNC por parte del Servidor de Compartir pantalla.

  ID CVE

  CVE-2013-5135: SilentSignal, en colaboración con iDefense VCP

• syslog

  Impacto: Un usuario invitado podía ser capaz de ver mensajes de registro de invitados anteriores

  Descripción: El registro de la consola era visible para el usuario invitado y contenía mensajes de las sesiones de usuarios invitados anteriores. El problema se solucionó al hacer que el registro de la consola para los usuarios invitados solo sea visible para los administradores.

  ID CVE

  CVE-2013-5191: Sven-S. Porst, de earthlingsoft

• USB

  Impacto: Una aplicación local malintencionada podía provocar la finalización inesperada del sistema

  Descripción: El controlador del concentrador USB no comprobaba el puerto y el número de puerto de las peticiones. El problema se solucionó al agregar comprobaciones del puerto y del número de puerto.

  ID CVE

  CVE-2013-5192: Stefano Bianchi Mazzone, Mattia Pagnozzi y Aristide Fattori, de Computer and Network Security Lab (LaSER), Università degli Studi di Milano

Nota: OS X Mavericks incluye Safari 7.0, el cual incorpora el contenido de seguridad de Safari 6.1. Para obtener más detalles, consulta "Acerca del contenido de seguridad de Safari 6.1" en http://support.apple.com/kb/HT6000?viewlocale=es_LA