Acerca del contenido de seguridad de la actualización de seguridad 2022-005 Catalina

En este documento se describe el contenido de seguridad de la actualización de seguridad 2022-005 Catalina.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

Actualización de seguridad 2022-005 Catalina

APFS

Disponible para: macOS Catalina

Impacto: una app con privilegios de raíz podría ser capaz de ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-32832: Tommy Muir (@Muirey03)

AppleMobileFileIntegrity

Disponible para: macOS Catalina

Impacto: una app podría obtener privilegios de raíz.

Descripción: se ha solucionado el problema de autorización mejorando la gestión del estado.

CVE-2022-32826: Mickey Jin (@patch1t) de Trend Micro

AppleScript

Disponible para: macOS Catalina

Impacto: el procesamiento de un binario AppleScript creado con fines maliciosos podría provocar el cierre inesperado o la divulgación de la memoria del proceso.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2022-32797: Mickey Jin (@patch1t), Ye Zhang (@co0py_Cat) de Baidu Security, Mickey Jin (@patch1t) de Trend Micro

AppleScript

Disponible para: macOS Catalina

Impacto: el procesamiento de un binario AppleScript creado con fines maliciosos podría provocar el cierre inesperado o la divulgación de la memoria del proceso.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2022-32853: Ye Zhang(@co0py_Cat) de Baidu Security

CVE-2022-32851: Ye Zhang (@co0py_Cat) de Baidu Security

AppleScript

Disponible para: macOS Catalina

Impacto: el procesamiento de un binario AppleScript creado con fines maliciosos podría provocar el cierre inesperado o la divulgación de la memoria del proceso.

Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.

CVE-2022-32831: Ye Zhang (@co0py_Cat) de Baidu Security

Archive Utility

Disponible para: macOS Catalina

Impacto: un archivo puede ser capaz de eludir Gatekeeper.

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2022-32910: Ferdous Saljooki (@malwarezoo) de Jamf Software

Audio

Disponible para: macOS Catalina

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de escritura fuera de los límites al mejorar la validación de las entradas.

CVE-2022-32820: un investigador anónimo

Calendar

Disponible para: macOS Catalina

Impacto: una app podría acceder a la información confidencial del usuario.

Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.

CVE-2022-32805: Csaba Fitzl (@theevilbit) de Offensive Security

Calendar

Disponible para: macOS Catalina

Impacto: una app podría acceder a datos confidenciales de los usuarios.

Descripción: se ha solucionado un problema de divulgación de información eliminando el código vulnerable.

CVE-2022-32849: Joshua Jones

CoreText

Disponible para: macOS Catalina

Impacto: un usuario remoto podría hacer que una app se cierre de forma inesperada o se ejecute código arbitrario.

Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.

CVE-2022-32839: STAR Labs (@starlabs_sg)

FaceTime

Disponible para: macOS Catalina

Impacto: una aplicación con privilegios de raíz podría ser capaz de acceder a información privada.

Descripción: este problema se ha solucionado habilitando el tiempo de ejecución reforzado.

CVE-2022-32781: Wojciech Reguła (@_r3ggi) de SecuRing

File System Events

Disponible para: macOS Catalina

Impacto: una app podría obtener privilegios de raíz.

Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.

CVE-2022-32819: Joshua Mason de Mandiant

ICU

Disponible para: macOS Catalina

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.

Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.

CVE-2022-32787: Dohyun Lee (@l33d0hyun) de SSD Secure Disclosure Labs y DNSLab, Univ. de Corea

ImageIO

Disponible para: macOS Catalina

Impacto: procesar una imagen podría provocar una denegación de servicio.

Descripción: se ha solucionado una falta de referencia a un puntero nulo mediante la mejora de la validación.

CVE-2022-32785: Yiğit Can YILMAZ (@yilmazcanyigit)

Intel Graphics Driver

Disponible para: macOS Catalina

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-32812: Yinyi Wu (@3ndy1), ABC Research s.r.o.

Intel Graphics Driver

Disponible para: macOS Catalina

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado una vulnerabilidad de corrupción de la memoria mejorando el bloqueo.

CVE-2022-32811: ABC Research s.r.o

Kernel

Disponible para: macOS Catalina

Impacto: una app con privilegios de raíz podría ser capaz de ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2022-32815: Xinru Chi de Pangu Lab

CVE-2022-32813: Xinru Chi de Pangu Lab

LaunchServices

Disponible para: macOS Catalina

Impacto: una app creada podría evitar ciertas preferencias de privacidad.

Descripción: se ha solucionado un problema de lógica mejorando las restricciones.

CVE-2021-30946: @gorelics, y Ron Masas de BreakPoint.sh

libxml2

Disponible para: macOS Catalina

Impacto: una app podría filtrar información confidencial del usuario.

Descripción: se ha solucionado un problema de inicialización de memoria mejorando la gestión de la memoria.

CVE-2022-32823

PackageKit

Disponible para: macOS Catalina

Impacto: una app malintencionada podría modificar las partes protegidas del sistema de archivos.

Descripción: se ha solucionado un problema en la gestión de variables de entorno mediante la mejora de la validación.

CVE-2022-32786: Mickey Jin (@patch1t)

PackageKit

Disponible para: macOS Catalina

Impacto: una app malintencionada podría modificar las partes protegidas del sistema de archivos.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2022-32800: Mickey Jin (@patch1t)

PluginKit

Disponible para: macOS Catalina

Impacto: una app podría leer archivos arbitrarios.

Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.

CVE-2022-32838: Mickey Jin (@patch1t) de Trend Micro

PS Normalizer

Disponible para: macOS Catalina

Impacto: el procesamiento de un binario Postscript creado con fines maliciosos podría provocar el cierre inesperado de la app o la divulgación de la memoria del proceso.

Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.

CVE-2022-32843: Kai Lu de Zscaler's ThreatLabz

SMB

Disponible para: macOS Catalina

Impacto: una app podría obtener privilegios de alto nivel.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la validación de las entradas.

CVE-2022-32842: Sreejith Krishnan R (@skr0x1c0)

SMB

Disponible para: macOS Catalina

Impacto: un usuario que se encontrase en una posición de red privilegiada podría filtrar información confidencial.

Descripción: se ha solucionado un problema de lectura fuera de los límites al mejorar la comprobación de los límites.

CVE-2022-32799: Sreejith Krishnan R (@skr0x1c0)

Software Update

Disponible para: macOS Catalina

Impacto: un usuario con una posición de red con privilegios puede rastrear la actividad de un usuario.

Descripción: este problema se ha solucionado mediante el uso de HTTPS al enviar información a través de la red.

CVE-2022-32857: Jeffrey Paul (sneak.berlin)

Spindump

Disponible para: macOS Catalina

Impacto: una app podría sobrescribir archivos arbitrarios.

Descripción: este problema se ha solucionado mejorando la gestión de archivos.

CVE-2022-32807: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab

Spotlight

Disponible para: macOS Catalina

Impacto: una app podría obtener privilegios de alto nivel.

Descripción: se ha corregido un problema de validación en la gestión de los enlaces simbólicos mediante la mejora de la validación de estos enlaces.

CVE-2022-26704: Joshua Mason de Mandiant

TCC

Disponible para: macOS Catalina

Impacto: una app podría acceder a la información confidencial del usuario.

Descripción: se ha solucionado un problema de acceso mediante la mejora de la zona restringida.

CVE-2022-32834: Xuxiang Yang (@another1024) de Tencent Security Xuanwu Lab (xlab.tencent.com), Gordon Long, Thijs Alkemade (@xnyhps) de Computest Sector 7, Adam Chester de TrustedSec, Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com) y Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Vim

Disponible para: macOS Catalina

Impacto: varios problemas en Vim.

Descripción: se han solucionado varios problemas actualizando Vim.

CVE-2021-4136

CVE-2021-4166

CVE-2021-4173

CVE-2021-4187

CVE-2021-4192

CVE-2021-4193

CVE-2021-46059

CVE-2022-0128

Wi-Fi

Disponible para: macOS Catalina

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la validación de las entradas.

CVE-2022-32860: Wang Yu de Cyberserval

Wi-Fi

Disponible para: macOS Catalina

Impacto: una app podría provocar el cierre inesperado del sistema o la escritura de la memoria del kernel.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2022-32837: Wang Yu, de Cyberserval

Wi-Fi

Disponible para: macOS Catalina

Impacto: un usuario remoto podría provocar el cierre inesperado del sistema o dañar la memoria del kernel.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2022-32847: Wang Yu, de Cyberserval