Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Ventura 13.5
Publicado el 24 de julio de 2023
Accounts
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.
CVE-2023-40439: Kirin (@Pwnrin)
Entrada agregada el 21 de diciembre de 2023
AMD
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar un problema de condición de carrera, se mejoró el manejo de estados.
CVE-2023-38616: ABC Research s.r.o.
Entrada agregada el 6 de septiembre de 2023
Apple Neural Engine
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-34425: pattern-f (@pattern_F_) de Ant Security Light-Year Lab
Entrada agregada el 27 de julio de 2023
Apple Neural Engine
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-38580: Mohamed GHANNAM (@_simo36)
AppleMobileFileIntegrity
Disponible para macOS Ventura
Impacto: Es posible que una app pueda determinar la ubicación actual de un usuario.
Descripción: Se solucionó un problema de reducción de la versión que afectaba a las computadoras Mac con procesador Intel con restricciones adicionales de firma de código.
CVE-2023-36862: Mickey Jin (@patch1t)
AppSandbox
Disponible para macOS Ventura
Impacto: Es posible que un proceso aislado pueda eludir las restricciones de la zona protegida
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2023-32364: Gergely Kalman (@gergely_kalman)
Assets
Disponible para macOS Ventura
Impacto: Una app podía modificar partes protegidas del sistema de archivos.
Descripción: Para solucionar este problema, se mejoró la protección de datos.
CVE-2023-35983: Mickey Jin (@patch1t)
CFNetwork
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.
CVE-2023-40392: Wojciech Regula de SecuRing (wojciechregula.blog)
Entrada agregada el 6 de septiembre de 2023
crontabs
Disponible para macOS Ventura
Impacto: Una app podía obtener privilegios de usuario raíz.
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2023-42828: Erhad Husovic
Entrada agregada el 21 de diciembre de 2023
CUPS
Disponible para macOS Ventura
Impacto: Un usuario con una posición de red privilegiada podía divulgar información confidencial.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2023-34241: Sei K.
Entrada agregada el 27 de julio de 2023
curl
Disponible para macOS Ventura
Impacto: Varios problemas en curl.
Descripción: Se solucionaron varios problemas con la actualización de curl.
CVE-2023-28319
CVE-2023-28320
CVE-2023-28321
CVE-2023-28322
Find My
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2023-32416: Wojciech Regula de SecuRing (wojciechregula.blog)
Find My
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.
CVE-2023-40437: Kirin (@Pwnrin) y Wojciech Regula de SecuRing (wojciechregula.blog)
Entrada agregada el 21 de diciembre de 2023
Grapher
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de un archivo pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-32418: Bool de YunShangHuaAn (云上华安)
CVE-2023-36854: Bool de YunShangHuaAn (云上华安)
ImageIO
Disponible para macOS Ventura
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-3970: Detectado por OSS-Fuzz
Entrada agregada el 6 de septiembre de 2023
Kernel
Disponible para macOS Ventura
Impacto: Una app podía divulgar la memoria del kernel.
Descripción: Se mejoró el saneamiento de entradas para solucionar un problema de validación.
CVE-2023-28200: Arsenii Kostromin (0x3c3e)
Entrada agregada el 6 de septiembre de 2023
Kernel
Disponible para macOS Ventura
Impacto: Un usuario remoto podía provocar el cierre inesperado del sistema o daños en la memoria del kernel.
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
CVE-2023-38590: Zweig de Kunlun Lab
Entrada agregada el 27 de julio de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2023-38598: Mohamed GHANNAM (@_simo36)
Entrada agregada el 27 de julio de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de enteros.
CVE-2023-36495: 香农的三蹦子 de Pangu Lab
Entrada agregada el 27 de julio de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la comprobación de límites para solucionar un problema de lectura fuera de los límites.
CVE-2023-37285: Arsenii Kostromin (0x3c3e)
Entrada agregada el 27 de julio de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2023-38604: Un investigador anónimo
Entrada agregada el 27 de julio de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-32734: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd.
CVE-2023-32441: Peter Nguyễn Vũ Hoàng (@peternguyen14) de STAR Labs SG Pte. Ltd.
CVE-2023-38261: Un investigador anónimo
CVE-2023-38424: Equipo de Certik Skyfall
CVE-2023-38425: Equipo de Certik Skyfall
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2023-32381: Un investigador anónimo
CVE-2023-32433: Zweig de Kunlun Lab
CVE-2023-35993: Kaitao Xie y Xiaolong Bai de Alibaba Group
Kernel
Disponible para macOS Ventura
Impacto: Un usuario podía aumentar los privilegios.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-38410: Un investigador anónimo
Kernel
Disponible para macOS Ventura
Impacto: Una app podía modificar el estado confidencial del kernel. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 15.7.1.
Descripción: Este problema se solucionó mejorando la administración del estado.
CVE-2023-38606: Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_) y Boris Larin (@oct0xor) de Kaspersky
Kernel
Disponible para macOS Ventura
Impacto: Un usuario remoto podía causar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-38603: Zweig de Kunlun Lab
libxpc
Disponible para macOS Ventura
Impacto: Una app podía obtener privilegios de usuario raíz.
Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.
CVE-2023-38565: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)
libxpc
Disponible para macOS Ventura
Impacto: Una app podía provocar una denegación de servicio.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2023-38593: Noah Roskin-Frazee
Disponible para macOS Ventura
Impacto: Un correo electrónico encriptado S/MIME podía enviarse accidentalmente sin encriptar.
Descripción: Para solucionar este problema, se mejoró la administración del estado de los correos electrónicos encriptados S/MIME.
CVE-2023-40440: Taavi Eomäe de Zone Media OÜ
Entrada agregada el 21 de diciembre de 2023
Model I/O
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de un modelo 3D pueda provocar la divulgación de la memoria de un proceso
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-38258: Mickey Jin (@patch1t)
CVE-2023-38421: Mickey Jin (@patch1t) y Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative
Entrada actualizada el 27 de julio de 2023
Model I/O
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de una imagen pueda provocar la divulgación de la memoria de un proceso
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2023-1916
Entrada agregada el 21 de diciembre de 2023
Music
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir las preferencias de privacidad.
Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.
CVE-2023-38571: Gergely Kalman (@gergely_kalman)
Entrada agregada el 27 de julio de 2023
ncurses
Disponible para macOS Ventura
Impacto: Una app podía provocar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.
CVE-2023-29491: Jonathan Bar Or, Emanuele Cozzi y Michael Pearse de Microsoft
Entrada agregada el 6 de septiembre de 2023
Net-SNMP
Disponible para macOS Ventura
Impacto: Una app podía modificar partes protegidas del sistema de archivos.
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2023-38601: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 27 de julio de 2023
NSSpellChecker
Disponible para macOS Ventura
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2023-32444: Mickey Jin (@patch1t)
Entrada agregada el 27 de julio de 2023
OpenLDAP
Disponible para macOS Ventura
Impacto: Un usuario remoto podía causar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-2953: Sandipan Roy
OpenSSH
Disponible para macOS Ventura
Impacto: Una app podía acceder a frases de contraseña de SSH.
Descripción: Para solucionar el problema, se agregaron restricciones en la observabilidad de los estados de las apps.
CVE-2023-42829: James Duffy (mangoSecure)
Entrada agregada el 21 de diciembre de 2023
PackageKit
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad.
Descripción: Se solucionó un problema de inyección mejorando la validación de entradas.
CVE-2023-38609: Michael Cowell
Entrada agregada el 27 de julio de 2023
PackageKit
Disponible para macOS Ventura
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2023-38259: Mickey Jin (@patch1t)
PackageKit
Disponible para macOS Ventura
Impacto: Una app podía modificar partes protegidas del sistema de archivos.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-38564: Mickey Jin (@patch1t)
PackageKit
Disponible para macOS Ventura
Impacto: Una app podía modificar partes protegidas del sistema de archivos.
Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.
CVE-2023-38602: Arsenii Kostromin (0x3c3e)
Security
Disponible para macOS Ventura
Impacto: Una app podía registrar la huella digital del usuario.
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2023-42831: James Duffy (mangoSecure)
Entrada agregada el 21 de diciembre de 2023
Shortcuts
Disponible para macOS Ventura
Impacto: Es posible que un atajo pueda modificar las configuraciones confidenciales de la app Atajos.
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2023-32442: Un investigador anónimo
sips
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de un archivo pueda ocasionar una denegación de servicio o revelar el contenido de la memoria.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2023-32443: David Hoyt de Hoyt LLC
Software Update
Disponible para macOS Ventura
Impacto: Una app podía obtener privilegios de usuario raíz.
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2023-42832: Arsenii Kostromin (0x3c3e)
Entrada agregada el 21 de diciembre de 2023
SystemMigration
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir las preferencias de privacidad.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-32429: Wenchao Li y Xiaolong Bai de Hangzhou Orange Shield Information Technology Co., Ltd.
tcpdump
Disponible para macOS Ventura
Impacto: Es posible que un atacante con una posición de red privilegiada pueda ejecutar código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2023-1801
Entrada agregada el 21 de diciembre de 2023
Time Zone
Disponible para macOS Ventura
Impacto: Un usuario podía leer la información de otro usuario.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2023-32654: Matthew Loewen
Entrada agregada el 27 de julio de 2023
Vim
Disponible para macOS Ventura
Impacto: Varios problemas en Vim
Descripción: Se solucionaron varios problemas con la actualización de Vim.
CVE-2023-2426
CVE-2023-2609
CVE-2023-2610
Entrada agregada el 21 de diciembre de 2023
Voice Memos
Disponible para macOS Ventura
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se agregaron más comprobaciones de permisos para solucionar el problema.
CVE-2023-38608: Yiğit Can YILMAZ (@yilmazcanyigit), Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab), Kirin (@Pwnrin), y Yishu Wang
Entrada actualizada el 21 de diciembre de 2023
Weather
Disponible para macOS Ventura
Impacto: Es posible que una app pueda determinar la ubicación actual de un usuario.
Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.
CVE-2023-38605: Adam M.
Entrada agregada el 6 de septiembre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Un atacante remoto podía ocasionar la ejecución de código javascript arbitrario.
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 257824
CVE-2023-40397: Johan Carlsson (joaxcar)
Entrada agregada el 6 de septiembre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Un sitio web podía omitir la política del mismo origen.
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 256549
CVE-2023-38572: Narendra Bhati (twitter.com/imnarendrabhati) de Suma Soft Pvt. Ltd., Pune, India
WebKit
Disponible para macOS Ventura
Impacto: Un sitio web podía rastrear información confidencial del usuario.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
WebKit Bugzilla: 257822
CVE-2023-38599: Hritvik Taneja, Jason Kim, Jie Jeff Xu, Stephan van Schaik, Daniel Genkin y Yuval Yarom
Entrada agregada el 27 de julio de 2023
WebKit
Disponible para macOS Ventura
Impacto: El procesamiento de un documento podía ocasionar un ataque de scripts de sitios.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
WebKit Bugzilla: 257299
CVE-2023-32445: Johan Carlsson (joaxcar)
Entrada agregada el 27 de julio de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado pueda provocar la ejecución de código arbitrario
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
WebKit Bugzilla: 257331
CVE-2023-38592: Narendra Bhati (twitter.com/imnarendrabhati) de Suma Soft Pvt. Ltd., Pune, India; Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina y Lorenzo Veronese de TU Wien
Entrada agregada el 27 de julio de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 256865
CVE-2023-38594: Yuhao Hu
WebKit Bugzilla: 256573
CVE-2023-38595: Un investigador anónimo, Jiming Wang, Jikai Ren
WebKit Bugzilla: 257387
CVE-2023-38600: anónimo en colaboración con el programa Zero Day Initiative de Trend Micro
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 258058
CVE-2023-38611: Francisco Alonso (@revskills)
WebKit
Disponible para macOS Ventura
Impacto: El procesamiento de contenido web podía provocar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 259231
CVE-2023-37450: Un investigador anónimo
Este problema se solucionó por primera vez en Rapid Security Response macOS Ventura 13.4.1 (c).
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 257684
CVE-2023-42866: Francisco Alonso (@revskills) y Junsung Lee
Entrada agregada el 21 de diciembre de 2023
WebKit Process Model
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 258100
CVE-2023-38597: 이준성 (Junsung Lee) de Cross Republic
WebKit Web Inspector
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web pueda divulgar información confidencial
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 256932
CVE-2023-38133: YeongHyeon Choi (@hyeon101010)
Otros agradecimientos
WebKit
Nos gustaría darle las gracias a Narendra Bhati (twitter.com/imnarendrabhati) de Suma Soft Pvt. Ltd., Pune, India, por su ayuda.
Entrada agregada el 27 de julio de 2023
WebKit
Nos gustaría darle las gracias a 이준성 (Junsung Lee) de Cross Republic por su ayuda.
Entrada agregada el 21 de diciembre de 2023
WebRTC
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.