Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
tvOS 15
Publicado el 20 de septiembre de 2021
Accessory Manager
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30837: Siddharth Aeri (@b1n4r1b01)
Entrada actualizada el 19 de enero de 2022
Apple Neural Engine
Disponible para Apple TV 4K y Apple TV HD
Impacto: Una app creada con fines malintencionados podía ejecutar código arbitrario con privilegios del sistema
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30838: Proteas Wang
Entrada agregada el 25 de mayo de 2022
bootp
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un dispositivo podía rastrearse de forma pasiva por su dirección MAC Wi-Fi.
Descripción: Se solucionó un problema de privacidad del usuario eliminando la dirección MAC de difusión.
CVE-2021-30866: Fabien Duchêne de UCLouvain (Bélgica)
Entrada agregada el 25 de octubre de 2021
CoreAudio
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30834: JunDong Xie de Ant Security Light-Year Lab
Entrada agregada el 25 de octubre de 2021
CoreGraphics
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2021-30928: Mickey Jin (@patch1t) de Trend Micro
Entrada agregada el 19 de enero de 2022
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de un tipo de letra creado con fines malintencionados pueda ocasionar la divulgación de la memoria de un proceso
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30831: Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 25 de octubre de 2021
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de un archivo .dfont creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30840: Xingwei Lin de Ant Security Light-Year Lab
Entrada agregada el 25 de octubre de 2021
FontParser
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de un archivo .dfont creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30841: Xingwei Lin de Ant Security Light-Year Lab
CVE-2021-30842: Xingwei Lin de Ant Security Light-Year Lab
CVE-2021-30843: Xingwei Lin de Ant Security Light-Year Lab
Foundation
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de confusión de tipo mejorando el manejo de la memoria.
CVE-2021-30852: Yinyi Wu (@3ndy1) de Ant Security Light-Year Lab
Entrada agregada el 25 de octubre de 2021
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2021-30814: hjy79425575
Entrada agregada el 25 de octubre de 2021
ImageIO
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30835: Ye Zhang de Baidu Security
CVE-2021-30847: Mike Zhang de Pangu Lab
Kernel
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-30857: Manish Bhatt de Red Team X @Meta, Zweig de Kunlun Lab
Entrada actualizada el 25 de mayo de 2022
libexpat
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que un atacante remoto pueda ocasionar una denegación de servicio
Descripción: Para solucionar este problema, se actualizó expat a la versión 2.4.1.
CVE-2013-0340: Un investigador anónimo
Preferences
Disponible para Apple TV 4K y Apple TV HD
Impacto: Una app podía obtener acceso a archivos restringidos.
Descripción: Existía un problema de validación en el manejo de enlaces simbólicos. Para solucionar este problema, se mejoró la validación de enlaces simbólicos.
CVE-2021-30855: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrada agregada el 19 de enero de 2022
Preferences
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30854: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Sandbox
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un usuario podía tener acceso a partes protegidas del sistema de archivos.
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2021-30850: Un investigador anónimo
Sandbox
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que una app creada con fines malintencionados pueda modificar partes protegidas del sistema de archivos
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30808: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.
Descripción: Existía un problema en la especificación de la API de temporización de recursos. Se actualizó la especificación y se implementó la especificación actualizada.
CVE-2021-30897: Un investigador anónimo
Entrada agregada el 19 de enero de 2022
WebKit
Disponible para Apple TV 4K y Apple TV
Impacto: Visitar un sitio web creado con fines malintencionados podía revelar el historial de navegación del usuario.
Descripción: Para solucionar este problema, se implementaron restricciones adicionales en la composición de CSS.
CVE-2021-30884: Un investigador anónimo
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
CVE-2021-30818: Amar Menezes (@amarekano) de Zon8Research
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un atacante en una posición de red privilegiada podía omitir HSTS.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30823: David Gullasch de Recurity Labs
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía revelar memoria restringida.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30836: Peter Nguyen Vu Hoang de STAR Labs
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30809: Un investigador anónimo
Entrada agregada el 25 de octubre de 2021
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30846: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30849: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Apple TV 4K y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código.
Descripción: Se solucionó un problema de vulnerabilidad de daños en la memoria mejorando el bloqueo.
CVE-2021-30851: Samuel Groß de Google Project Zero
Wi-Fi
Disponible para Apple TV 4K y Apple TV HD
Impacto: Un atacante con proximidad física podía forzar a un usuario a ingresar a una red Wi-Fi creada con fines malintencionados durante la configuración del dispositivo.
Descripción: Se mejoró la administración de estados para solucionar un problema de autorización.
CVE-2021-30810: Peter Scott
Entrada actualizada el 19 de enero de 2022
Otros agradecimientos
Assets
Nos gustaría darle las gracias a Cees Elzinga por su ayuda.
bootp
Nos gustaría darle las gracias a Alexander Burke de alexburke.ca por su ayuda.
Entrada agregada el 25 de mayo de 2022
Kernel
Nos gustaría darle las gracias a Joshua Baums de Informatik Baums por su ayuda.
Entrada agregada el 25 de mayo de 2022
UIKit
Nos gustaría darle las gracias a Jason Rendel de Diligent por su ayuda.
Entrada actualizada el 25 de mayo de 2022
WebKit
Nos gustaría darle las gracias a un investigador anónimo y a Nikhil Mittal (@c0d3G33k) por su ayuda.
Entrada agregada el 25 de mayo de 2022
Wi-Fi
Nos gustaría darle las gracias a Peter Scott por su ayuda.
Entrada agregada el 25 de mayo de 2022