Acerca del contenido de seguridad de OS X El Capitan v10.11.4 y la Actualización de seguridad 2016-002

En este documento se describe el contenido de seguridad de OS X El Capitan v10.11.4 y la Actualización de seguridad 2016-002.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información acerca de la seguridad de los productos de Apple, visita el sitio web Seguridad de los productos de Apple.

Para obtener información sobre la clave de seguridad PGP de los productos de Apple, consulta Cómo utilizar la clave PGP de seguridad de los productos de Apple.

Siempre que sea posible, se utilizan ID de CVE para hacer referencia a los puntos vulnerables a fin de obtener más información.

Para obtener más información acerca de otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.

OS X El Capitan 10.11.4 y Actualización de seguridad 2016-002

  • apache_mod_php

    Disponible para: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: el procesamiento de un archivo .png creado con fines malintencionados podría provocar la ejecución de código arbitrario

    Descripción: existían varias vulnerabilidades en las versiones de libpng anteriores a la 1.6.20. Estos problemas se han solucionado actualizando libpng a la versión 1.6.20.

    ID CVE

    CVE-2015-8126 : Adam Mariš

    CVE-2015-8472 : Adam Mariš

  • AppleRAID

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se ha solucionado un problema de corrupción de memoria mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1733: Proteas de Qihoo 360 Nirvan Team

  • AppleRAID

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un usuario local podría ser capaz de determinar el diseño de memoria de kernel

    Descripción: existía un problema de lectura fuera de los límites que provocaba la divulgación del contenido de la memoria de kernel. Esto se ha solucionado mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1732: Proteas de Qihoo 360 Nirvan Team

  • AppleUSBNetworking

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un dispositivo USB podría ser capaz de provocar la denegación de servicio

    Descripción: existía un problema de gestión de errores en la validación de paquetes. Este problema se ha solucionado mejorando la gestión de errores.

    ID CVE

    CVE-2016-1734 : Andrea Barisani y Andrej Rosano de Inverse Path

  • Bluetooth

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1735 : Jeonghoon Shin@A.D.D

    CVE-2016-1736 : beist y ABH de BoB

  • Carbon

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: el procesamiento de un archivo .dfont creado con fines malintencionados podría provocar la ejecución de un código arbitrario

    Descripción: había varios problemas de corrupción de la memoria en la gestión de archivos de tipo de letra. Estos problemas se han solucionado mejorando la comprobación de los límites.

    ID CVE

    CVE-2016-1737 : HappilyCoded (ant4g0nist &r3dsm0k3)

  • dyld

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante puede manipular mediante aplicaciones firmadas con código para ejecutar código arbitrario en el contexto de la aplicación

    Descripción: existía un problema de verificación de firma de código en dyld. Este problema se ha solucionado mejorando la validación.

    ID CVE

    CVE-2016-1738 : beist y ABH de BoB

  • FontParser

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: la apertura de un archivo PDF creado de manera malintencionada puede ocasionar la terminación inesperada de la aplicación o la ejecución de un código arbitrario

    Descripción: se ha solucionado un problema de memoria mediante la mejora de la gestión de la memoria.

    ID CVE

    CVE-2016-1740 : HappilyCoded (ant4g0nist y r3dsm0k3) funcionando con Zero Day Initiative (ZDI) de Trend Micro

  • HTTPProtocol

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante remoto podría provocar la ejecución de un código arbitrario

    Descripción: existían varias vulnerabilidades en versiones de nghttp2 anteriores a la 1.6.0, la más grave de las cuales podría provocar la ejecución de código remota. Estos problemas se han solucionado actualizando nghttp2 a la versión 1.6.0.

    ID CVE

    CVE-2015-8659

  • Controlador de gráficos Intel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1743 : Piotr Bania de Cisco Talos

    CVE-2016-1744 : Ian Beer de Google Project Zero

  • IOFireWireFamily

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un usuario local podría ser capaz de provocar la denegación de servicio

    Descripción: se ha solucionado una falta de referencia a un puntero nulo mediante la mejora de la validación.

    ID CVE

    CVE-2016-1745 : sweetchip de Grayhash

  • IOGraphics

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se ha solucionado un problema de corrupción de memoria mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1746 : Peter Pi de Trend Micro trabajando con Zero Day Initiative (ZDI) de Trend Micro

    CVE-2016-1747 : Juwei Lin de Trend Micro trabajando con Zero Day Initiative (ZDI) de Trend Micro

  • IOHIDFamily

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ser capaz de determinar el diseño de la memoria de kernel

    Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1748 : Brandon Azad

  • IOUSBFamily

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1749 : Ian Beer de Google Project Zero y Juwei Lin de Trend Micro trabajando con Zero Day Initiative (ZDI) de Trend Micro

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1750 : CESG

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: existía una condición de carrera durante la creación de los nuevos procesos. Esto se ha solucionado mejorando la gestión de estado.

    ID CVE

    CVE-2016-1757 : Ian Beer de Google Project Zero y Pedro Vilaça

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se solucionó una falta de referencia a un puntero nulo mediante la mejora de la validación de entrada.

    ID CVE

    CVE-2016-1756 : Lufeng Li de Qihoo 360 Vulcan Team

  • Kernel

    Disponible para: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1754 : Lufeng Li de Qihoo 360 Vulcan Team

    CVE-2016-1755 : Ian Beer de Google Project Zero

    CVE-2016-1759 : lokihardt

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ser capaz de determinar el diseño de la memoria de kernel

    Descripción: existía un problema de lectura fuera de los límites que provocaba la divulgación del contenido de la memoria de kernel. Esto se ha solucionado mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1758 : Brandon Azad

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios desbordamientos de enteros mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1753 : Juwei Lin Trend Micro trabajando con Zero Day Initiative (ZDI) de Trend Micro

  • Kernel

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ser capaz de provocar la denegación de servicio

    Descripción: se ha solucionado un problema de denegación de servicio mejorando la validación.

    ID CVE

    CVE-2016-1752 : CESG

  • libxml2

    Disponible para: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: procesar un XML creado con fines malintencionados puede provocar la finalización inesperada de la aplicación o la ejecución de un código arbitrario

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2015-1819

    CVE-2015-5312 : David Drysdale de Google

    CVE-2015-7499

    CVE-2015-7500 : Kostya Serebryany de Google

    CVE-2015-7942 : Kostya Serebryany de Google

    CVE-2015-8035 : gustavo.grieco

    CVE-2015-8242 : Hugh Davenport

    CVE-2016-1761 : wol0xff trabajando con Zero Day Initiative (ZDI) de Trend Micro

    CVE-2016-1762

  • Mensajes

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: al hacer clic en un enlace de JavaScript, se puede revelar información confidencial del usuario

    Descripción: existía un problema en el procesamiento de enlaces de JavaScript. Este problema se ha solucionado mejorando las comprobaciones de la política de seguridad de contenido.

    ID CVE

    CVE-2016-1764 : Matthew Bryant de Uber Security Team (anteriormente de Bishop Fox), Joe DeMesy y Shubham Shah de Bishop Fox

  • Mensajes

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante que puede sortear la colocación de certificado de Apple, interceptar conexiones TLS, inyectar mensajes y grabar mensajes cifrados tipo adjunto, podría leer los datos adjuntos

    Descripción: se ha solucionado un problema criptográfico al rechazar mensajes duplicados en el cliente.

    ID CVE

    CVE-2016-1788 : Christina Garman, Matthew Green, Gabriel Kaptchuk, Ian Miers y Michael Rushanan de Johns Hopkins University

  • Controladores de tarjetas gráficas NVIDIA

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1741 : Ian Beer de Google Project Zero

  • OpenSSH

    Disponible para: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: conectarse a un servidor puede hacer que se filtre información confidencial del usuario, como las claves privadas del cliente

    Descripción: la itinerancia, que estaba activada de forma predeterminada en el cliente OpenSSH, exponía un riesgo de información filtrada y desbordamiento de búfer. Se han solucionado estos problemas al deshabilitar la itinerancia en el cliente.

    ID CVE

    CVE-2016-0777 : Qualys

    CVE-2016-0778 : Qualys

  • OpenSSH

    Disponible para: OS X Mavericks v10.9.5 y OS X Yosemite v10.10.5

    Impacto: varias vulnerabilidades en LibreSSL

    Descripción: existían varias vulnerabilidades en las versiones de LibreSSL anteriores a la 2.1.8. Estos problemas se han solucionado al actualizar LibreSSL a la versión 2.1.8.

    ID CVE

    CVE-2015-5333 : Qualys

    CVE-2015-5334 : Qualys

  • OpenSSL

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante remoto podría ser capaz de provocar la denegación de servicio

    Descripción: existía una pérdida de memoria en las versiones anteriores a la 0.9.8zh de OpenSSL. Este problema se ha solucionado actualizando OpenSSL a la versión 0.9.8zh.

    ID CVE

    CVE-2015-3195

  • Python

    Disponible para: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: el procesamiento de un archivo .png creado con fines malintencionados podría provocar la ejecución de código arbitrario

    Descripción: existían varias vulnerabilidades en las versiones de libpng anteriores a la 1.6.20. Estos problemas se han solucionado actualizando libpng a la versión 1.6.20.

    ID CVE

    CVE-2014-9495

    CVE-2015-0973

    CVE-2015-8126 : Adam Mariš

    CVE-2015-8472 : Adam Mariš

  • QuickTime

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: procesar una imagen de mapa de bits FlashPix creada con fines malintencionados puede provocar la finalización inesperada de la aplicación o la ejecución de un código arbitrario

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1767 : Francis Provencher de COSIG

    CVE-2016-1768 : Francis Provencher de COSIG

  • QuickTime

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: procesar un documento de Photoshop creado con fines malintencionados podría provocar la finalización inesperada de la aplicación o la ejecución de un código arbitrario

    Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

    ID CVE

    CVE-2016-1769 : Francis Provencher de COSIG

  • Recordatorios

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: hacer clic en un enlace de teléfono puede generar una llamada sin preguntar al usuario

    Descripción: no se preguntó al usuario antes de realizar una llamada. Este problema se ha solucionado mejorando las comprobaciones de derecho.

    ID CVE

    CVE-2016-1770: Guillaume Ross de Rapid7 y Laurent Chouinard de Laurent.ca

  • Ruby

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante local podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución de un código arbitrario

    Descripción: existía una vulnerabilidad de uso de cadena corrupta no segura en versiones anteriores a 2.0.0-p648. El problema se ha solucionado actualizando a la versión 2.0.0-p648.

    ID CVE

    CVE-2015-7551

  • Seguridad

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un usuario local puede consultar la existencia de archivos arbitrarios

    Descripción: existía un problema de permisos en las herramientas de firma de código. Esto se ha solucionado mediante comprobaciones de propiedad adicionales.

    ID CVE

    CVE-2016-1773 : Mark Mentovai de Google Inc.

  • Seguridad

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: procesar un certificado creado con fines malintencionados podría provocar la ejecución de un código arbitrario

    Descripción: existía un problema de corrupción de la memoria en el decodificador ASN.1. Este problema se ha solucionado mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1950 : Francis Gabriel de Quarkslab

  • Tcl

    Disponible para: OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3

    Impacto: el procesamiento de un archivo .png creado con fines malintencionados podría provocar la ejecución de código arbitrario

    Descripción: existían varias vulnerabilidades en las versiones de libpng anteriores a la 1.6.20. Estos problemas se han solucionado quitando libpng.

    ID CVE

    CVE-2015-8126

  • TrueTypeScaler

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: el procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución de un código arbitrario

    Descripción: existía un problema de corrupción de la memoria en el procesamiento de archivos de tipo de letra. Este problema se ha solucionado mejorando la validación de las entradas.

    ID CVE

    CVE-2016-1775 : 0x1byte trabajando con Zero Day Initiative (ZDI) de Trend Micro

  • Wi-Fi

    Disponible para: OS X El Capitan v10.11 a v10.11.3

    Impacto: un atacante con una posición de red privilegiada podría ejecutar un código arbitrario

    Descripción: existía un problema de corrupción de memoria y validación de marco para un ethertype determinado. Este problema se ha solucionado mediante validación de ethertype adicional y gestión de memoria mejorada.

    ID CVE

    CVE-2016-0801 : investigador anónimo

    CVE-2016-0802 : investigador anónimo

OS X El Capitan 10.11.4 incluye el contenido de seguridad deSafari 9.1.

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se proporciona sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, rendimiento o uso de sitios web o productos de terceros. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Ponte en contacto con el proveedor para obtener información adicional. Otros nombres de empresas o productos pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: