Este artículo se ha archivado y Apple ya no lo actualiza.

Acerca de la actualización de seguridad 2008-007

En este documento se describe la actualización de seguridad 2008-007, que se puede descargar e instalar a través de las preferencias de Actualización de software o desde Descargas de Apple.

Con el fin de proteger a nuestros clientes, Apple no revelará, comentará ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información acerca de la seguridad de los productos Apple, visita el sitio web Seguridad de los productos Apple.

Para obtener más información sobre la clave PGP de seguridad de los productos Apple, consulta Cómo utilizar la clave PGP de seguridad de los productos Apple.

Siempre que sea posible, se utilizan ID de CVE para hacer referencia a los puntos vulnerables a fin de obtener más información.

Para obtener más información acerca de otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.

Actualización de seguridad 2008-007

  • Apache

    • CVE-ID: CVE-2007-6420, CVE-2008-1678 y CVE-2008-2364

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: existen varias vulnerabilidades en Apache 2.2.8

    • Descripción: Apache se actualiza a la versión 2.2.9 para resolver varias vulnerabilidades, la más grave de las cuales puede provocar la falsificación de solicitudes entre sitios. La versión 2 de Apache no se incluye en los sistemas con el cliente de Mac OS X antes de la versión 10.5. La versión 2 de Apache se incluye en los sistemas Mac OS X Server v10.4.x, pero no está activa de forma predeterminada. Encontrarás más información en el sitio web de Apache en http://httpd.apache.org/

  • Certificates

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: se han actualizado los certificados raíz

    • Descripción: se han añadido varios certificados de confianza a la lista de raíces del sistema. Se han actualizado varios certificados existentes a la versión más reciente. La lista completa de las raíces del sistema reconocidas puede consultarse a través de la app Acceso a Llaveros.

  • ClamAV

    • CVE-ID: CVE-2008-1389, CVE-2008-3912, CVE-2008-3913 y CVE-2008-3914

      Disponible para: Mac OS X Server v10.4.11 y Mac OS X Server v10.5.5

    • Impacto: existen varias vulnerabilidades en ClamAV 0.93.3

    • Descripción: existen varias vulnerabilidades en ClamAV 0.93.3, la más grave de las cuales puede provocar la ejecución de código arbitrario. Esta actualización soluciona los problemas actualizando a ClamAV 0.94. ClamAV no se incluye en los sistemas con el cliente de Mac OS X. Más información en el sitio web de ClamAV en http://www.clamav.net/

  • ColorSync

    • CVE-ID: CVE-2008-3642

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: La visualización de una imagen creada con fines malintencionados podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario

    • Descripción: se produce un desbordamiento del búfer al gestionar imágenes con un perfil de codificación ICC. La apertura de una imagen creada con fines malintencionados con un perfil de codificación ICC podría provocar el cierre de la aplicación de manera inesperada o la ejecución arbitraria de código. Esta actualización aborda el problema mediante una validación adicional de los perfiles ICC en imágenes. Gracias a Apple.

  • CUPS

    • CVE-ID: CVE-2008-3641

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: un atacante remoto puede provocar la ejecución de código arbitrario con los privilegios del usuario “lp”

    • Descripción: existe un problema de comprobación de intervalos en el filtro de lenguaje grafico de Hewlett-Packard (HPGL), que puede provocar la sobreescritura de memoria arbitraria con datos controlados. Si la función de uso compartido de impresoras está activada, un atacante remoto puede provocar la ejecución de código arbitrario con los privilegios del usuario “lp“. Si la función de uso compartido de impresoras no está activada, un usuario local puede obtener privilegios de alto nivel. Esta actualización soluciona el problema realizando una comprobación adicional de los límites. Gracias a regenrecht, que trabaja con Zero Day Initiative de TippingPoint, por informar de este problema.

  • Finder

    • CVE-ID: CVE-2008-3643

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

      Impacto: un archivo del escritorio puede provocar una denegación del servicio

    • Descripción: existe un problema de recuperación de error en Finder. Un archivo creado con fines malintencionados en el escritorio que ocasiona que Finder se cierre inesperadamente cuando se genera su icono provocará que Finder se cierre y reinicie continuamente. La cuenta del usuario no es accesible mediante la interfaz de usuario de Finder hasta que se elimina el archivo. Esta actualización ha solucionado el problema generando los iconos en un proceso independiente. Este problema no afecta a los sistemas anteriores a Mac OS X v10.5. Gracias a Sergio 'shadown' Álvarez de n.runs AG por informar de este problema.

  • launchd

    • Impacto: se pueden producir errores en las aplicaciones al entrar en una zona protegida cuando se solicita

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Descripción: esta actualización soluciona un problema generado en Mac OS X v10.5.5. Un problema de implementación en launchd puede provocar errores en la solicitud de una aplicación para entrar en una zona protegida. Este problema no afecta a programas que utilizan la API sandbox_init documentada. Esta actualización soluciona el problema ofreciendo una versión actualizada de launchd. Este problema no afecta a los sistemas anteriores a Mac OS X v10.5.5.

  • libxslt

    • CVE-ID: CVE-2008-1767

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: el procesamiento de un documento XML puede provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario

      Descripción: existe un problema de desbordamiento del búfer de pila en la biblioteca libxslt. La visualización de una página HTML creada con fines malintencionados puede provocar el cierre inesperado de la aplicación o la ejecución arbitraria de código. Puedes encontrar más información sobre el parche aplicado en http://xmlsoft.org/XSLT/ Gracias a Anthony de Almeida Lopes, de Outpost24 AB, y a Chris Evans, de Google Security Team, por informar de este problema.

  • MySQL Server

    • CVE-ID: CVE-2007-2691, CVE-2007-5969, CVE-2008-0226, CVE-2008-0227 y CVE-2008-2079

    • Disponible para: Mac OS X Server v10.5.5

      Impacto: existen varias vulnerabilidades en MySQL 5.0.45

    • Descripción: MySQL se actualiza a la versión 5.0.67 para resolver varias vulnerabilidades, la más grave de las cuales puede provocar la ejecución de código arbitrario. Estos problemas afectan únicamente a los sistemas Mac OS X Server. Más información en el sitio web de MySQL en http://dev.mysql.com/doc/refman/5.0/en/news-5-0-67.html

  • Networking

    • CVE-ID: CVE-2008-3645

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: un usuario local podría obtener privilegios del sistema

    • Descripción: existe un problema de desbordamiento del búfer de pila en el componente IPC local del plugin EAPOLController de configd, que puede permitir a un usuario local obtener privilegios del sistema. Esta actualización soluciona el problema mediante la comprobación mejorada de los límites especificados. Gracias a Apple.

  • PHP

    • CVE-ID: CVE-2007-4850, CVE-2008-0674 y CVE-2008-2371

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11 y Mac OS X Server v10.5.5

    • Impacto: existen varias vulnerabilidades en PHP 4.4.8

    • Descripción: PHP se actualiza a la versión 4.4.9 para resolver varias vulnerabilidades, la más grave de las cuales puede provocar la ejecución de código arbitrario. Más información en el sitio web de PHP en http://www.php.net/ Estos problemas afectan únicamente a los sistemas Mac OS X v10.4.x, Mac OS X Server v10.4.x o Mac OS X Server v10.5.x.

  • Postfix

    • CVE-ID: CVE-2008-3646

    • Disponible para: Mac OS X v10.5.5

      Impacto: un atacante remoto puede enviar correos directamente a usuarios locales

    • Descripción: existe un problema en los archivos de configuración de Postfix. Postfix es accesible desde la red durante un periodo de un minuto después de que una herramienta de línea de comando local envíe un correo. Durante este tiempo, una entidad remota que pueda conectarse al puerto SMTP puede enviar correos a usuarios locales y utilizar el protocolo SMTP para cualquier otro fin. Este problema no convierte el sistema en un relé de correo abierto. Este problema se ha solucionado modificando la configuración de Postfix para evitar la conexión SMTP de equipos remotos. Este problema no afecta a sistemas anteriores a Mac OS X v10.5 ni a Mac OS X Server. Gracias a Pelle Johansson por informar de este problema.

  • PSNormalizer

    • CVE-ID: CVE-2008-3647

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: la visualización de un archivo PostScript creado con fines malintencionados puede provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario

    • Descripción: se produce un desbordamiento del búfer cuando PSNormalizer gestiona el comentario del cuadro delimitador en archivos PostScript. La visualización de un archivo PostScript creado con fines malintencionados puede provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario. Esta actualización soluciona el problema mediante la validación adicional de los archivos PostScript.

    • Gracias a Apple.

  • QuickLook

    • CVE-ID: CVE-2008-4211

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: la descarga o visualización de un archivo de Microsoft Excel creado con fines malintencionados puede provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario

    • Descripción: existe un problema de firma cuando QuickLook gestiona columnas en archivos de Microsoft Excel que puede provocar el acceso a la memoria fuera de los límites. La descarga o visualización de un archivo de Microsoft Excel creado con fines malintencionados puede provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario. Esta actualización ha solucionado el problema mediante la validación adicional de los archivos de Microsoft Excel. Este problema no afecta a los sistemas anteriores a Mac OS X v10.5. Gracias a Apple.

  • rlogin

    • CVE-ID: CVE-2008-4212

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: los sistemas que se han configurado manualmente para utilizar rlogin y host.equiv pueden permitir el inicio de sesión de usuario root de forma inesperada

    • Descripción: la página de manual para el archivo de configuración hosts.equiv indica que las entradas no se aplican en el usuario root. Sin embargo, un problema de implementación en rlogind provoca que estas entradas también se apliquen en el usuario root. Esta actualización ha solucionado el problema impidiendo adecuadamente el rlogin del usuario root si el sistema remoto está en hosts.equiv. El servicio rlogin no está activado de forma predeterminada en Mac OS X y se debe configurar manualmente para activarlo. Gracias a Ralf Meyer por informar de este problema.

  • Script Editor

    • CVE-ID: CVE-2008-4214

    • Disponible para: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: un usuario local puede obtener los privilegios de otro usuario que está utilizando Script Editor

    • Descripción: existe un problema de operación de archivo no segura en la aplicación Script Editor al abrir diccionarios de scripts de la aplicación. Un usuario local puede provocar que el diccionario de scripts se escriba en una ruta arbitraria accesible por el usuario que está ejecutando la aplicación. Esta actualización ha solucionado el problema creando el archivo temporal en una ubicación segura. Gracias a Apple.

  • Single Sign-On

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: el comando sso_util acepta ahora contraseñas de un archivo

    • Descripción: el comando sso_util acepta ahora contraseñas de un archivo con nombre en la variable de entorno SSO_PASSWD_PATH. Esto permite que los scripts automáticos utilicen sso_util de una forma más segura.

  • Tomcat

    • CVE-ID: CVE-2007-6286, CVE-2008-0002, CVE-2008-1232, CVE-2008-1947, CVE-2008-2370, CVE-2008-2938, CVE-2007-5333, CVE-2007-5342 y CVE-2007-5461

    • Disponible para: Mac OS X Server v10.5.5

    • Impacto: existen varias vulnerabilidades en Tomcat 6.0.14

    • Descripción: Tomcat en sistemas Mac OS X v10.5 se actualiza a la versión 6.0.18 para resolver varias vulnerabilidades, la más grave de las cuales puede provocar un ataque de ejecución de secuencias de comandos entre sitios. Estos problemas afectan únicamente a los sistemas Mac OS X Server. Hay más información disponible en el sitio web de Tomcat en http://tomcat.apache.org/

  • vim

    • CVE-ID: CVE-2008-2712, CVE-2008-4101, CVE-2008-2712, CVE-2008-3432 y CVE-2008-3294

    • Disponible para: Mac OS X v10.5.5 y Mac OS X Server v10.5.5

    • Impacto: existen varias vulnerabilidades en vim 7.0

    • Descripción: existen varias vulnerabilidades en vim 7.0, la más grave de las cuales puede provocar la ejecución de código arbitrario al trabajar con archivos creados con fines malintencionados. Esta actualización ha solucionado los problemas actualizando a vim 7.2.0.22. Más información disponible en el sitio web de vim en http://www.vim.org/

  • Weblog

    • CVE-ID: CVE-2008-4215

    • Disponible para: Mac OS X Server v10.4.11

    • Impacto: es posible que no se aplique el control de acceso en publicaciones de un weblog

    • Descripción: existe un error no comprobado en el servidor de Weblog. Añadir un usuario con varios nombres cortos a la lista de control de acceso para la publicación de un weblog puede provocar que el servidor de Weblog no aplique el control de acceso. Este problema se ha solucionado mejorando la forma en la que se guardan las listas de control de acceso. Este problema afecta únicamente a los sistemas Mac OS X Server v10.4. Gracias a Apple.

Fecha de publicación: