Acerca del contenido de seguridad de macOS Catalina 10.15.3, actualización de seguridad 2020-001 Mojave y actualización de seguridad 2020-001 High Sierra
En este documento se describe el contenido de seguridad de macOS Catalina 10.15.3, actualización de seguridad 2020-001 Mojave y actualización de seguridad 2020-001 High Sierra.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
macOS Catalina 10.15.3, actualización de seguridad 2020-001 Mojave y actualización de seguridad 2020-001 High Sierra
AnnotationKit
Disponible para: macOS Catalina 10.15.2
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2020-3877: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro
apache_mod_php
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: varios problemas en PHP.
Descripción: se han solucionado varios problemas actualizando a la versión 7.3.11 de PHP.
CVE-2019-11043
Audio
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema
Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.
CVE-2020-3857: Zhuo Liang de Qihoo 360 Vulcan Team
autofs
Disponible para: macOS Catalina 10.15.2
Impacto: las operaciones de búsqueda y apertura de un archivo desde un volumen NFS controlado por un atacante pueden evadir los controles de Gatekeeper.
Descripción: este problema se ha solucionado realizando controles adicionales de Gatekeeper en los archivos creados en un recurso de red compartido.
CVE-2020-3866: José Castro Almeida (@HackerOn2Wheels) y René Kroka (@rene_kroka)
CoreBluetooth
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2020-3848: Jianjun Dai de Qihoo 360 Alpha Lab
CVE-2020-3849: Jianjun Dai de Qihoo 360 Alpha Lab
CVE-2020-3850: Jianjun Dai de Qihoo 360 Alpha Lab
CoreBluetooth
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: un atacante remoto podría filtrar memoria.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2020-3847: Jianjun Dai de Qihoo 360 Alpha Lab
Crash Reporter
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: una aplicación maliciosa podría tener acceso a archivos restringidos
Descripción: había un problema de validación en la gestión de los enlaces simbólicos. Se ha resuelto este problema mejorando la validación de los enlaces simbólicos.
CVE-2020-3835: Csaba Fitzl (@theevilbit)
crontab
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema
Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.
CVE-2020-3863: James Hutchins
Encontrado en apps
Disponible para: macOS Catalina 10.15.2
Impacto: se puede acceder de forma inapropiada a los datos encriptados.
Descripción: existía un problema con el acceso de Sugerencias de Siri a los datos encriptados. El problema se solucionó limitando el acceso a los datos encriptados.
CVE-2020-9774: Bob Gendler del Instituto Nacional de Estandarización y Tecnología
Procesamiento de imágenes
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: ver un archivo JPEG creado con fines malintencionados podría provocar la ejecución arbitraria de código
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2020-3827: Samuel Groß de Google Project Zero
ImageIO
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2020-3826: Samuel Groß de Google Project Zero
CVE-2020-3870
CVE-2020-3878: Samuel Groß de Google Project Zero
CVE-2020-3880: Samuel Groß de Google Project Zero
Driver de gráficos Intel
Disponible para: macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema
Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.
CVE-2020-3845: Zhuo Liang de Qihoo 360 Vulcan Team
IOAcceleratorFamily
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel
Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.
CVE-2020-3837: Brandon Azad de Google Project Zero
IOThunderboltFamily
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría obtener privilegios de alto nivel
Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.
CVE-2020-3851: Xiaolong Bai y Min (Spark) Zheng de Alibaba Inc. y Luyi Xing de la Universidad de Indiana Bloomington
IPSec
Disponible para: macOS Catalina 10.15.2
Impacto: cargar un archivo de configuración racoon malicioso podría provocar la ejecución de código arbitrario.
Descripción: se detectó un problema de desbordamiento de un byte en la gestión de archivos de configuración racoon. Este problema se ha solucionado mejorando la comprobación de los límites.
CVE-2020-3840: @littlelailo
Kernel
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación podría leer la memoria restringida
Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.
CVE-2020-3875: Brandon Azad de Google Project Zero
Kernel
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría leer la memoria restringida
Descripción: se ha solucionado un problema de inicialización de memoria mejorando la gestión de la memoria.
CVE-2020-3872: Haakon Garseg Mørk y Cim Stordal de Cognite
Kernel
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación creada con fines malintencionados podría ser capaz de ejecutar código arbitrario con privilegios del sistema
Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión de la memoria.
CVE-2020-3853: Brandon Azad de Google Project Zero
Kernel
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación creada con fines malintencionados podría determinar el diseño de la memoria de kernel
Descripción: se ha solucionado un problema de acceso mejorando la gestión de la memoria.
CVE-2020-3836: Brandon Azad de Google Project Zero
Kernel
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel
Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.
CVE-2020-3842: Ned Williamson en colaboración con Google Project Zero
CVE-2020-3871: Corellium
libxml2
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: procesar un XML creado con fines malintencionados podría provocar la finalización inesperada de la aplicación o la ejecución de código arbitrario
Descripción: se ha solucionado un desbordamiento de búfer mejorando la validación del tamaño.
CVE-2020-3846: Ranier Vilela
libxpc
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: el procesamiento de una cadena creada con fines maliciosos puede provocar daños en la memoria heap
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2020-3856: Ian Beer de Google Project Zero
libxpc
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación podría obtener privilegios de alto nivel
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2020-3829: Ian Beer de Google Project Zero
PackageKit
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación creada con fines malintencionados podría ser capaz de sobrescribir archivos arbitrarios
Descripción: había un problema de validación en la gestión de los enlaces simbólicos. Se ha resuelto este problema mejorando la validación de los enlaces simbólicos.
CVE-2020-3830: Csaba Fitzl (@theevilbit)
Seguridad
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación maliciosa podría salir de su zona restringida
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2020-3854: Jakob Rieck (@0xdead10cc) y Maximilian Blochberger de Seguridad en Distributed Systems Group, Universidad de Hamburgo
sudo
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: algunas configuraciones pueden permitir que un atacante local ejecute código arbitrario.
Descripción: se ha solucionado un problema de desbordamiento de búfer mejorando la gestión de la memoria.
CVE-2019-18634: Apple
Sistema
Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6
Impacto: una aplicación creada con fines malintencionados podría ser capaz de sobrescribir archivos arbitrarios
Descripción: se ha solucionado un problema de acceso mejorando las restricciones de acceso.
CVE-2020-3855: Csaba Fitzl (@theevilbit)
Wi-Fi
Disponible para: macOS Catalina 10.15.2
Impacto: una aplicación podría leer la memoria restringida
Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.
CVE-2020-3839: s0ngsari de Theori y Lee de la Universidad Nacional de Seúl en colaboración con Zero Day Initiative de Trend Micro
Wi-Fi
Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15.2
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado del sistema o dañar la memoria del kernel.
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2020-3843: Ian Beer de Google Project Zero
wifivelocityd
Disponible para: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 y macOS Catalina 10.15.2
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema
Descripción: se ha solucionado el problema mejorando la lógica de los permisos.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
Otros agradecimientos
Almacenamiento en Fotos
Queremos dar las gracias a Allison Husain de UC Berkeley por su ayuda.
SharedFileList
Queremos dar las gracias por su ayuda a Patrick Wardle de Jamf.
La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.