Acerca del contenido de seguridad de watchOS 9.6

En este documento se describe el contenido de seguridad de watchOS 9.6.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

watchOS 9.6

Disponible el 24 de julio de 2023

Apple Neural Engine

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2023-34425: pattern-f (@pattern_F_) de Ant Security Light-Year Lab

Entrada añadida el 27 de julio de 2023

Apple Neural Engine

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2023-38136: Mohamed GHANNAM (@_simo36)

CVE-2023-38580: Mohamed GHANNAM (@_simo36)

Find My

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: es posible que una app pueda leer información de ubicación confidencial.

Descripción: se ha solucionado un problema de lógica mejorando las restricciones.

CVE-2023-32416: Wojciech Reguła de SecuRing (wojciechregula.blog)

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un usuario remoto puede provocar el cierre inesperado del sistema o dañar la memoria del kernel.

Descripción: se ha solucionado un problema de desbordamiento de búfer mejorando la gestión de la memoria.

CVE-2023-38590: Zweig de Kunlun Lab

Entrada añadida el 27 de julio de 2023

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de uso después de estar libre mediante la mejora de la gestión de la memoria.

CVE-2023-38598: Mohamed GHANNAM (@_simo36)

Entrada añadida el 27 de julio de 2023

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un desbordamiento de enteros mediante la mejora de la validación de las entradas.

CVE-2023-36495: 香农的三蹦子 de Pangu Lab

Entrada añadida el 27 de julio de 2023

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de escritura fuera de los límites al mejorar la validación de las entradas.

CVE-2023-38604: investigador anónimo

Entrada añadida el 27 de julio de 2023

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

CVE-2023-32734: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd.

CVE-2023-32441: Peter Nguyễn Vũ Hoàng (@peternguyen14) de STAR Labs SG Pte. Ltd.

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de uso después de estar libre mediante la mejora de la gestión de la memoria.

CVE-2023-32381: investigador anónimo

CVE-2023-32433: Zweig de Kunlun Lab

CVE-2023-35993: Wenchao Li y Xiaolong Bai de Alibaba Group

Kernel

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app puede modificar información confidencial sobre el estado del kernel. Apple está al tanto de un informe que indica que este problema puede haber sido explotado activamente contra versiones de iOS lanzadas antes de iOS 15.7.1.

Descripción: este problema se ha solucionado con la mejora de la gestión del estado.

CVE-2023-38606: Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_) y Boris Larin (@oct0xor) de Kaspersky

libxpc

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una app podría obtener privilegios de raíz.

Descripción: se ha solucionado un problema de gestión de las rutas mejorando la validación.

CVE-2023-38565: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)

libxpc

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: una aplicación puede provocar una denegación de servicio.

Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.

CVE-2023-38593: Noah Roskin-Frazee

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un sitio web puede rastrear información confidencial sobre los usuarios.

Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.

WebKit Bugzilla: 257822

CVE-2023-38599: Hritvik Taneja, Jason Kim, Jie Jeff Xu, Stephan van Schaik, Daniel Genkin y Yuval Yarom

Entrada añadida el 27 de julio de 2023

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de un documento puede provocar un ataque de ejecución de secuencias de comandos entre sitios.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

WebKit Bugzilla: 257299

CVE-2023-32445: Johan Carlsson (joaxcar)

Entrada añadida el 27 de julio de 2023

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar contenido web puede provocar la ejecución de código arbitrario.

Descripción: se ha solucionado un problema de lógica mejorando las restricciones.

WebKit Bugzilla: 257331

CVE-2023-38592: Narendra Bhati (twitter.com/imnarendrabhati) de Suma Soft Pvt. Ltd, Pune - India, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina y Lorenzo Veronese de TU Wien

Entrada añadida el 27 de julio de 2023

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: un sitio web puede eludir la política del mismo origen.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

WebKit Bugzilla: 256549

CVE-2023-38572: Narendra Bhati (@imnarendrabhati) de Suma Soft Pvt. Ltd. Pune (India)

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar contenido web puede provocar la ejecución de código arbitrario.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

WebKit Bugzilla: 256865

CVE-2023-38594: Yuhao Hu

WebKit Bugzilla: 256573

CVE-2023-38595: investigador anónimo, Jiming Wang y Jikai Ren

WebKit Bugzilla: 257387

CVE-2023-38600: anónimo en colaboración con Zero Day Initiative de Trend Micro

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar contenido web puede provocar la ejecución de código arbitrario.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

WebKit Bugzilla: 258058

CVE-2023-38611: Francisco Alonso (@revskills)

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: el procesamiento de contenido web puede provocar la ejecución de código arbitrario. Apple tiene conocimiento de que este problema se ha explotado activamente.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

WebKit Bugzilla: 259231

CVE-2023-37450: investigador anónimo

WebKit

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar contenido web puede provocar la ejecución de código arbitrario.

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.

WebKit Bugzilla: 257684

CVE-2023-42866: Francisco Alonso (@revskills) y Junsung Lee

Entrada añadida el 21 de diciembre de 2023

WebKit Web Inspector

Disponible para: Apple Watch Series 4 y modelos posteriores

Impacto: procesar contenidos web podría revelar información confidencial.

Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.

WebKit Bugzilla: 256932

CVE-2023-38133: YeongHyeon Choi (@hyeon101010)

Otros agradecimientos

WebKit

Queremos dar las gracias por su ayuda a Narendra Bhati (twitter.com/imnarendrabhati) de Suma Soft Pvt. Ltd, Pune, India.

Entrada añadida el 27 de julio de 2023

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.

Fecha de publicación: