Acerca del contenido de seguridad de macOS Big Sur 11.4
En este documento se describe el contenido de seguridad de macOS Big Sur 11.4.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
macOS Big Sur 11.4
AMD
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30678: Yu Wang de Didi Research America
AMD
Disponible para: macOS Big Sur
Impacto: un usuario local podría ser capaz de provocar el cierre inesperado del sistema o leer la memoria del kernel.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30676: shrek_wzw
App Store
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría salir de su zona restringida.
Descripción: se ha solucionado un problema de gestión de las rutas mejorando la validación.
CVE-2021-30688: Thijs Alkemade de Computest Research Division
AppleScript
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría anular las comprobaciones de Gatekeeper
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30669: Yair Hoffman
Audio
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de audio creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30707: hjy79425575 en colaboración con Zero Day Initiative de Trend Micro
Audio
Disponible para: macOS Big Sur
Impacto: analizar un archivo de audio creado con fines malintencionados podría provocar la revelación de información del usuario.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30685: Mickey Jin (@patch1t) de Trend Micro
Bluetooth
Disponible para: macOS Big Sur
Impacto: se ha solucionado un problema de corrupción de la memoria mejorando la gestión del estado.
Descripción: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz.
CVE-2021-30672: say2 de ENKI
Core Services
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz
Descripción: había un problema de validación en la gestión de los enlaces simbólicos. Se ha resuelto este problema mejorando la validación de los enlaces simbólicos.
CVE-2021-30681: Zhongcheng Li (CK01)
CoreAudio
Disponible para: macOS Big Sur
Impacto: procesar un archivo de audio creado con fines malintencionados podría mostrar memoria restringida.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30686: Mickey Jin de Trend Micro
CoreText
Disponible para: macOS Big Sur
Impacto: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
Descripción: procesar un sitio web creado con fines malintencionados podría provocar la revelación de la memoria de procesos.
CVE-2021-30733: Sunglin de Knownsec 404 team
CVE-2021-30753: Xingwei Lin de Ant Security Light-Year Lab
Crash Reporter
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría ser capaz de modificar las partes protegidas del sistema de archivos
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30727: Cees Elzinga
CVMS
Disponible para: macOS Big Sur
Impacto: un atacante local podría aumentar sus privilegios.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30724: Mickey Jin (@patch1t) de Trend Micro
Dock
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría acceder al historial de llamadas de un usuario.
Descripción: se ha solucionado un problema de acceso mejorando las restricciones de acceso.
CVE-2021-30673: Josh Parnham (@joshparnham)
FontParser
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución arbitraria de código
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30771: Mickey Jin (@patch1t) de Trend Micro, CFF de Topsec Alpha Team
FontParser
Disponible para: macOS Big Sur
Impacto: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
Descripción: procesar un sitio web creado con fines malintencionados podría provocar la revelación de la memoria de procesos
CVE-2021-30755: Xingwei Lin de Ant Security Light-Year Lab
Graphics Drivers
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría hacer que se cerrara de forma inesperada una aplicación o se ejecutara código arbitrario.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30684: Liu Long de Ant Security Light-Year Lab
Graphics Drivers
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30735: Jack Dates de RET2 Systems, Inc. (@ret2systems) en colaboración con la iniciativa Zero Day de Trend Micro
Heimdal
Disponible para: macOS Big Sur
Impacto: un usuario local podría filtrar información confidencial de los usuarios.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30697: Gabe Kirkpatrick (@gabe_k)
Heimdal
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría provocar una denegación de servicio o difundir contenido de la memoria.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2021-30710: Gabe Kirkpatrick (@gabe_k)
Heimdal
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría ejecutar código arbitrario y comprometer la información del usuario.
Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.
CVE-2021-30683: Gabe Kirkpatrick (@gabe_k)
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría hacer que se revelase información del usuario.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30687: Hou JingYi (@hjy79425575) de Qihoo 360
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría hacer que se revelase información del usuario.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30700: Ye Zhang(@co0py_Cat) de Baidu Security
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30701: Mickey Jin (@patch1t) de Trend Micro y Ye Zhang de Baidu Security
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar un archivo ASTC creado con fines malintencionados podría difundir contenido de la memoria.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30705: Ye Zhang de Baidu Security
ImageIO
Disponible para: macOS Big Sur
Impacto: este problema se ha solucionado mejorando las comprobaciones.
Descripción: procesar una imagen creada con fines malintencionados podría provocar la revelación de información del usuario.
CVE-2021-30706: usuario anónimo en colaboración con Zero Day Initiative de Trend Micro, Jzhu en colaboración con Zero Day Initiative de Trend Micro
Intel Graphics Driver
Disponible para: macOS Big Sur
Impacto: un usuario local podría ser capaz de provocar el cierre inesperado del sistema o leer la memoria del kernel.
Descripción: se ha solucionado un problema de lectura fuera de los límites eliminando el código vulnerable.
CVE-2021-30719: investigador anónimo en colaboración con la Zero Day Initiative de Trend Micro
Intel Graphics Driver
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30728: Liu Long de Ant Security Light-Year Lab
CVE-2021-30726: Yinyi Wu(@3ndy1) de Qihoo 360 Vulcan Team
IOUSBHostFamily
Disponible para: macOS Big Sur
Impacto: este problema se ha solucionado mejorando las comprobaciones.
Descripción: una aplicación sin privilegios podría capturar dispositivos USB.
CVE-2021-30731: UTM (@UTMapp)
Kernel
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2021-30740: Linus Henze (pinauten.de)
Kernel
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30704: investigador anónimo
Kernel
Disponible para: macOS Big Sur
Impacto: el procesamiento de un mensaje creado con fines malintencionados podría originar la denegación del servicio
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30715: el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido
Kernel
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un desbordamiento de búfer mejorando la validación del tamaño.
CVE-2021-30736: Ian Beer de Google Project Zero
Kernel
Disponible para: macOS Big Sur
Impacto: un atacante local podría aumentar sus privilegios.
Descripción: se ha solucionado un problema de memoria mejorando la validación.
CVE-2021-30739: Zuozhi Fan (@pattern_F_) de Ant Group Tianqiong Security Lab
Kernel
Disponible para: macOS Big Sur
Impacto: se ha solucionado un problema de “double free” mejorando la gestión de la memoria.
Descripción: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
CVE-2021-30703: investigador anónimo
Kext Management
Disponible para: macOS Big Sur
Impacto: un usuario local podría ser capaz de cargar extensiones de kernel sin firmar
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30680: Csaba Fitzl (@theevilbit) de Offensive Security
LaunchServices
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría salir de su zona restringida.
Descripción: este problema se ha solucionado mejorando el saneamiento del entorno.
CVE-2021-30677: Ron Waisberg (@epsilan)
Login Window
Disponible para: macOS Big Sur
Impacto: una persona con acceso físico a un Mac puede omitir la ventana de inicio de sesión.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30702: Jewel Lambert de Original Spin, LLC.
Disponible para: macOS Big Sur
Impacto: un atacante en una posición de red privilegiada podría alterar el estado de una aplicación.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30696: Fabian Ising y Damian Poddebniak de la Universidad de Ciencias Aplicadas de Münster
MediaRemote
Disponible para: macOS Big Sur
Impacto: se ha solucionado un problema de privacidad en Ahora suena mejorando los permisos.
Descripción: un atacante local podría ver información de Ahora suena en la pantalla bloqueada.
CVE-2021-30756: Ricky D'Amelio, Jatayu Holznagel (@jholznagel)
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar un archivo USD creado con fines malintencionados podría difundir contenido de la memoria.
Descripción: se ha solucionado un problema de divulgación de información mejorando la gestión del estado.
CVE-2021-30723: Mickey Jin (@patch1t) de Trend Micro
CVE-2021-30691: Mickey Jin (@patch1t) de Trend Micro
CVE-2021-30692: Mickey Jin (@patch1t) de Trend Micro
CVE-2021-30694: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo USD diseñado con fines malintencionados podría provocar el cierre inesperado de la aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2021-30725: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar un archivo USD creado con fines malintencionados podría difundir contenido de la memoria.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30746: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de validación mejorando la lógica.
CVE-2021-30693: Mickey Jin (@patch1t) y Junzhi Lu (@pwn0rz) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar un archivo USD creado con fines malintencionados podría difundir contenido de la memoria.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30695: Mickey Jin (@patch1t) y Junzhi Lu (@pwn0rz) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo USD diseñado con fines malintencionados podría provocar el cierre inesperado de la aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30708: Mickey Jin (@patch1t) y Junzhi Lu (@pwn0rz) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar un archivo USD creado con fines malintencionados podría difundir contenido de la memoria.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30709: Mickey Jin (@patch1t) de Trend Micro
NSOpenPanel
Disponible para: macOS Big Sur
Impacto: una aplicación podría obtener privilegios de alto nivel.
Descripción: el problema se ha solucionado eliminando el código vulnerable.
CVE-2021-30679: Gabe Kirkpatrick (@gabe_k)
OpenLDAP
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría provocar una denegación de servicio.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2020-36226
CVE-2020-36227
CVE-2020-36223
CVE-2020-36224
CVE-2020-36225
CVE-2020-36221
CVE-2020-36228
CVE-2020-36222
CVE-2020-36230
CVE-2020-36229
PackageKit
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría sobrescribir archivos arbitrarios.
Descripción: se ha solucionado un problema con la lógica de validación de rutas para enlaces permanentes mejorando el saneamiento de las rutas.
CVE-2021-30738: Qingyang Chen de Topsec Alpha Team y Csaba Fitzl (@theevilbit) de Offensive Security
Sandbox
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría evitar ciertas preferencias de privacidad.
Descripción: este problema se ha solucionado con una protección de datos mejorada.
CVE-2021-30751: Csaba Fitzl (@theevilbit) de Offensive Security
Security
Disponible para: macOS Big Sur
Impacto: procesar un certificado creado con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: al eliminar el código vulnerable se ha solucionado un problema de corrupción de memoria en el descodificador ASN.1.
CVE-2021-30737: xerub
smbx
Disponible para: macOS Big Sur
Impacto: un atacante en una posición de red privilegiada podría provocar una denegación de servicio.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30716: Aleksandar Nikolic de Cisco Talos
smbx
Disponible para: macOS Big Sur
Impacto: un atacante en una posición de red privilegiada podría ejecutar código arbitrario.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2021-30717: Aleksandar Nikolic de Cisco Talos
smbx
Disponible para: macOS Big Sur
Impacto: un atacante que se encontrase en una posición de red privilegiada podría filtrar información confidencial de los usuarios
Descripción: se ha solucionado un problema de gestión de las rutas mejorando la validación.
CVE-2021-30721: Aleksandar Nikolic de Cisco Talos
smbx
Disponible para: macOS Big Sur
Impacto: un atacante que se encontrase en una posición de red privilegiada podría filtrar información confidencial de los usuarios
Descripción: se ha solucionado un problema de divulgación de información mejorando la gestión del estado.
CVE-2021-30722: Aleksandar Nikolic de Cisco Talos
smbx
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30712: Aleksandar Nikolic de Cisco Talos
Software Update
Disponible para: macOS Big Sur
Impacto: una persona con acceso físico a un Mac podría omitir la ventana de inicio de sesión durante una actualización de software.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30668: Syrus Kimiagar y Danilo Paffi Monteiro
SoftwareUpdate
Disponible para: macOS Big Sur
Impacto: un usuario sin privilegios podría modificar ajustes restringidos.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30718: SiQian Wei de ByteDance Security
TCC
Disponible para: macOS Big Sur
Impacto: una aplicación malintencionada podría enviar eventos de Apple no autorizados al Finder.
Descripción: se ha solucionado un problema de validación mejorando la lógica.
CVE-2021-30671: Ryan Bell (@iRyanBell)
TCC
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría evitar las preferencias de privacidad. Apple tiene conocimiento de que este problema se ha explotado activamente.
Descripción: se ha solucionado un problema de permisos mediante la mejora de la validación.
CVE-2021-30713: investigador anónimo.
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios.
Descripción: se ha solucionado un problema entre orígenes con elementos de iframe mejorando el seguimiento de los orígenes de seguridad.
CVE-2021-30744: Dan Hite de jsontop
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.
CVE-2021-21779: Marcin Towalski de Cisco Talos
WebKit
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría filtrar información confidencial sobre los usuarios
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2021-30682: Prakash (@1lastBr3ath)
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2021-30689: investigador anónimo
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.
CVE-2021-30749: investigador anónimo y mipu94 del laboratorio SEFCOM, ASU, en colaboración con Zero Day Initiative de Trend Micro
CVE-2021-30734: Jack Dates de RET2 Systems, Inc. (@ret2systems) en colaboración con Zero Day Initiative de Trend Micro
WebKit
Disponible para: macOS Big Sur
Impacto: un sitio web creado con fines malintencionados podría tener acceso a puertos restringidos en servidores arbitrarios.
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2021-30720: David Schütz (@xdavidhu)
WebRTC
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría provocar una denegación de servicio.
Descripción: se ha solucionado una falta de referencia a un puntero nulo mediante la mejora de la validación.
CVE-2021-23841: Tavis Ormandy de Google
CVE-2021-30698: Tavis Ormandy de Google
Otros agradecimientos
App Store
Queremos dar las gracias a Thijs Alkemade de Computest Research Division por su ayuda.
CoreCapture
Queremos dar las gracias a Zuozhi Fan (@pattern_F_) de Ant-financial TianQiong Security Lab por su ayuda.
ImageIO
Queremos dar las gracias a Jzhu de la Zero Day Initiative de Trend Micro y a un investigador anónimo por su ayuda.
Mail Drafts
Queremos dar las gracias a Lauritz Holtmann (@_lauritz_) por su ayuda.
WebKit
Queremos dar las gracias a Chris Salls (@salls) de Makai Security por su ayuda.
La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.