Acerca del contenido de seguridad de la actualización Mac OS X 10.4.8 y la actualización de seguridad 2006-006

En este documento se describe la actualización de seguridad 2006-006 y el contenido de seguridad de la actualización Mac OS X 10.4.8, que se pueden descargar e instalar a través de las preferencias de Actualización de software o desde Descargas de Apple.

Con el fin de proteger a nuestros clientes, Apple no revelará, comentará ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información acerca de la seguridad de los productos Apple, visita el sitio web Seguridad de los productos Apple.

Para obtener más información sobre la clave PGP de seguridad de los productos Apple, consulta “Cómo utilizar la clave PGP de seguridad de los productos Apple”.

Siempre que sea posible, se utilizan ID de CVE para hacer referencia a los puntos vulnerables a fin de obtener más información.

Para obtener más información acerca de otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.

Mac OS X v10.4.8 y la actualización de seguridad 2006-006

• CFNetwork

  CVE-ID: CVE-2006-4390

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: los clientes CFNetwork como Safari pueden permitir que sitios SSL no autenticados aparezcan como autenticados

  Descripción: las conexiones creadas con SSL normalmente están autenticadas y encriptadas. Cuando el encriptado se implementa sin autenticación, un sitio malintencionado puede llegar a hacerse pasar por un sitio de confianza. En el caso de Safari, esto puede provocar que se muestre el icono de candado aunque la identidad de un sitio remoto no sea de confianza. Esta actualización resuelve el problema no permitiendo de forma predeterminada las conexiones SSL anónimas. Gracias a Adam Bryzak de la Queensland University of Technology por informar de este problema.

• Flash Player

  CVE-ID: CVE-2006-3311, CVE-2006-3587, CVE-2006-3588, CVE-2006-4640

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: reproducir contenido flash puede provocar la ejecución de código arbitrario

  Descripción: Adobe Flash Player incluye vulnerabilidades críticas que pueden provocar la ejecución de código arbitrario al manejar contenido creado con fines malintencionados. Esta actualización resuelve el problema incorporando Flash Player v9.0.16.0 en los sistemas Mac OS X v10.3.9 y Flash Player v9.0.20.0 en los sistemas Mac OS X v10.4.

  Consulta más información en el sitio web de Adobe, en http://www.adobe.com/support/security/bulletins/apsb06-11.html.

• ImageIO

  CVE-ID: CVE-2006-4391

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: visualizar una imagen JPEG2000 creada con fines malintencionados puede provocar un bloqueo de aplicación o la ejecución de código arbitrario

  Descripción: un atacante puede crear cuidadosamente una imagen JPEG2000 malintencionada que desencadene una sobrecarga de búfer, lo que puede llegar a provocar un bloqueo de aplicación o la ejecución de código arbitrario. Esta actualización resuelve el problema mediante una validación adicional de las imágenes JPEG2000. Este problema no afecta a sistemas anteriores a Mac OS X v10.4. Gracias a Tom Saxton de Idle Loop Software Design por informar de este problema.

• Kernel

  CVE-ID: CVE-2006-4392

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: los usuarios locales pueden ser capaces de ejecutar código arbitrario con privilegios elevados

  Descripción: un mecanismo de gestión de errores del kernel, conocido como puertos de excepción Mach, permite controlar programas cuando se encuentran determinados tipos de error. Un usuario local malintencionado podría utilizar dicho mecanismo para ejecutar código arbitrario en programas con privilegios en caso de encontrarse un error. Esta actualización resuelve el problema restringiendo el acceso de los programas con privilegios a los puertos de excepción Mach. Gracias a Dino Dai Zovi de Matasano Security por informar de este problema.

• LoginWindow

  CVE-ID: CVE-2006-4397

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: tras un intento fallido de iniciar sesión en una cuenta de red, otros usuarios locales podrían acceder a los tickets de Kerberos

  Descripción: debido a una condición de error no controlada, es posible que los tickets de Kerberos no se destruyan apropiadamente después de un intento fallido de iniciar sesión en una cuenta de red mediante loginwindow. Como resultado, usuarios locales podrían acceder sin autorización a los tickets de Kerberos de un usuario anterior. Esta actualización resuelve el problema borrando la caché de credenciales después de un intento fallido de inicio de sesión. Este problema no afecta a sistemas anteriores a Mac OS X v10.4. Gracias a Patrick Gallagher de Digital Peaks Corporation por informar de este problema.

• LoginWindow

  CVE-ID: CVE-2006-4393

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: los tickets de Kerberos podrían quedar disponibles para otros usuarios locales si Cambio rápido de usuario está activado

  Descripción: un error en la gestión de Cambio rápido de usuario puede permitir a un usuario local acceder a los tickets de Kerberos de otros usuarios locales. Cambio rápido de usuario se ha actualizado para prevenir esta situación. Este problema no afecta a sistemas anteriores a Mac OS X v10.4. Gracias a Ragnar Sundblad del Royal Institute of Technology de Estocolmo, Suecia, por informar de este problema.

• LoginWindow

  CVE-ID: CVE-2006-4394

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: las cuentas de red podrían ser capaces de ignorar los controles de acceso al servicio loginwindow

  Descripción: los controles de acceso al servicio pueden usarse para restringir los usuarios a los que se les permite iniciar sesión en un sistema mediante loginwindow. Un error lógico en loginwindow permite que cuentas de red sin GUID ignoren los controles de acceso al servicio. Este problema solo afecta a sistemas configurados para utilizar los controles de acceso al servicio loginwindow y permitir que las cuentas de red autentiquen usuarios sin necesidad de GUID. El problema se ha resuelto mediante una correcta gestión de los controles de acceso al servicio loginwindow. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.

• Preferences

  CVE-ID: CVE-2006-4387

  Disponible para: Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: después de revocar los privilegios de administrador a una cuenta, esta puede seguir gestionando aplicaciones WebObjects

  Descripción: aunque se desmarque la casilla Permitir al usuario administrar este ordenador en Preferencias del Sistema, es posible que la cuenta no sea eliminada de los grupos appserveradm o appserverusr. Estos grupos permiten a una cuenta gestionar aplicaciones WebObjects. Esta actualización resuelve el problema asegurando la eliminación de la cuenta de los grupos apropiados. Este problema no afecta a sistemas anteriores a Mac OS X v10.4. Gracias a Phillip Tejada de Fruit Bat Software por informar de este problema.

• QuickDraw Manager

  CVE-ID: CVE-2006-4395

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: abrir una imagen PICT malintencionada con determinadas aplicaciones puede provocar un bloqueo de aplicación o la ejecución de código arbitrario

  Descripción: determinadas aplicaciones invocan una operación QuickDraw no admitida para mostrar imágenes PICT. Un atacante puede crear cuidadosamente una imagen PICT malintencionada que desencadene un dañado de memoria en estas aplicaciones, lo que puede provocar un bloqueo de aplicación o la ejecución de código arbitrario. Esta actualización resuelve el problema impidiendo la operación no admitida.

• SASL

  CVE-ID: CVE-2006-1721

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: un atacante remoto podría ser capaz de causar una denegación de servicio en un servidor IMAP

  Descripción: un problema en el soporte de negociación DIGEST-MD5 en Cyrus SASL puede provocar un fallo de segmentación en el servidor IMAP mediante un encabezado de reino creado de forma malintencionada. Esta actualización resuelve el problema mediante una gestión mejorada de los encabezados de reino en los intentos de autenticación.

• WebCore

  CVE-ID: CVE-2006-3946

  Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4 a v10.4.7, Mac OS X Server v10.4 a v10.4.7

  Impacto: visualizar una página web creada de forma malintencionada puede provocar la ejecución de código arbitrario

  Descripción: un error de gestión de memoria en el manejo de determinado código HTML por parte de WebKit puede permitir que un sitio web malintencionado provoque un bloqueo o ejecute código arbitrario mientras el usuario visualiza el sitio. Esta actualización resuelve el problema impidiendo la condición que provoca la sobrecarga. Gracias a Jens Kutilek de Netzallee, Lurene Grenier, ingeniera de investigación sénior en Sourcefire VRT, y Jose Avila III, analista de seguridad en ONZRA, por informar de este problema.

• Workgroup Manager

  CVE-ID: CVE-2006-4399

  Disponible para: Mac OS X Server v10.4 a v10.4.7

  Impacto: las cuentas en un principal NetInfo que parecen usar contraseñas ShadowHash pueden seguir utilizando contraseñas de cifrado

  Descripción: Workgroup Manager parece permitir el cambio del tipo de autenticación de contraseñas de cifrado a contraseñas ShadowHash en un principal NetInfo, cuando en realidad no es así. Al actualizar la visualización de una cuenta en el principal NetInfo, se muestra adecuadamente que se siguen utilizando contraseñas de cifrado. Esta actualización resuelve el problema impidiendo a los administradores que seleccionen contraseñas ShadowHash para cuentas en un principal NetInfo. Gracias a Chris Pepper de The Rockefeller University por informar de este problema.

Nota sobre la instalación

Actualización de software presentará la actualización correspondiente a la configuración de tu sistema. Solo se necesita una de ellas.

La actualización de seguridad 2006-006 se instalará en sistemas Mac OS X v10.3.9 y Mac OS X Server v10.3.9.

Mac OS X v10.4.8 contiene las correcciones de seguridad incluidas en la actualización de seguridad 2006-006 y se instalará en sistemas Mac OS X v10.4 (o versiones posteriores) y Mac OS X Server v10.4 (o versiones posteriores).