Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
tvOS 14.7
Publicado el 19 de julio de 2021
Analytics
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que un atacante local pueda acceder a los datos de análisis
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30871: Denis Tokarev (@illusionofcha0s)
Entrada agregada el 25 de mayo de 2022
App Store
Disponible para Apple TV 4K y Apple TV HD
Impacto: Una app creada con fines malintencionados podía omitir ciertas preferencias de privacidad.
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-31006: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de mayo de 2022
Audio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que un atacante local pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30781: tr3e
AVEVideoEncoder
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30748: George Nosenko
Entrada agregada el 19 de enero de 2022
CoreAudio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados ocasione la ejecución de código arbitrario
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30775: JunDong Xie de Ant Security Light-Year Lab
CoreAudio
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que la reproducción de un archivo de audio creado con fines malintencionados pueda ocasionar el cierre inesperado de una app
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30776: JunDong Xie de Ant Security Light-Year Lab
CoreText
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30789: Mickey Jin (@patch1t) de Trend Micro y Sunglin de Knownsec 404 Team
Crash Reporter
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30774: Yizhuo Wang de Group of Software Security In Progress (G.O.S.S.I.P) de la Universidad Jiao Tong de Shanghái
CVMS
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2021-30780: Tim Michaud (@TimGMichaud) de Zoom Video Communications
dyld
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30768: Linus Henze (pinauten.de)
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2021-30760: Sunglin de Knownsec 404 Team
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo TIFF creado con fines malintencionados pueda ocasionar una denegación de servicio o revelar el contenido de la memoria
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30788: tr3e en colaboración con la iniciativa Zero Day de Trend Micro
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de pila mejorando la validación de entradas.
CVE-2021-30759: hjy79425575 en colaboración con la iniciativa Zero Day de Trend Micro
Identity Service
Disponible para Apple TV 4K y Apple TV HD
Impacto: Una app creada con fines malintencionados podía omitir las comprobaciones de firma de código.
Descripción: Para solucionar un problema de validación de firma de código, se mejoraron las comprobaciones.
CVE-2021-30773: Linus Henze (pinauten.de)
Image Processing
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30802: Matthew Denton de Google Chrome Security
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30779: Jzhu y Ye Zhang (@co0py_Cat) de Baidu Security
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.
CVE-2021-30785: CFF de Topsec Alpha Team y Mickey Jin (@patch1t) de Trend Micro
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un atacante malintencionado con una función de lectura y escritura arbitraria podía omitir la autenticación del puntero.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30769: Linus Henze (pinauten.de)
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un atacante que lograba ejecutar el código del kernel podía omitir las mitigaciones de memoria del kernel.
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30770: Linus Henze (pinauten.de)
libxml2
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que un atacante remoto pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-3518
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
CVE-2021-30758: Christoph Guttandin de Media Codings
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30795: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30797: Ivan Fratric de Google Project Zero
Otros agradecimientos
Assets
Nos gustaría darle las gracias a Cees Elzinga por su ayuda.
CoreText
Nos gustaría darle las gracias a Mickey Jin (@patch1t) de Trend Micro por su ayuda.
Power Management
Nos gustaría darles las gracias a Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit) y Lisandro Ubiedo (@_lubiedo) de Stratosphere Lab por su ayuda.
Entrada agregada el 7 de junio de 2023
Safari
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Sandbox
Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.
sysdiagnose
Nos gustaría darles las gracias a Carter Jones (linkedin.com/in/carterjones/) y Tim Michaud (@TimGMichaud) de Zoom Video Communications por su ayuda.
Entrada agregada el 25 de mayo de 2022