Acerca del contenido de seguridad de Safari 10

Este documento describe el contenido de seguridad de Safari 10.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos de Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.

Safari 10

Disponible el 20 de septiembre de 2016

Lector de Safari

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: habilitar la función Lector de Safari en una página web creada con fines malintencionados puede provocar la ejecución universal de secuencias entre sitios

Descripción: se han solucionado varios problemas de validación mejorando el saneamiento de entradas.

CVE-2016-4618: Erling Ellingsen

Entrada actualizada el 23 de septiembre de 2016

Pestañas de Safari

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: visitar un sitio web creado con fines malintencionados puede provocar la suplantación de barra de direcciones

Descripción: había un problema de administración de estados en la gestión de las sesiones de las pestañas. Este problema se ha solucionado mejorando la gestión de estados.

CVE-2016-4751: Daniel Chatfield de Monzo Bank

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: el procesamiento de contenido web con fines malintencionados puede provocar la ejecución de código arbitrario

Descripción: había un problema de análisis en la gestión de los prototipos de error. Esto se ha solucionado mejorando la validación.

CVE-2016-4728: Daniel Divricean

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: visitar un sitio web creado con fines malintencionados podría filtrar información confidencial

Descripción: existía un problema de permisos en la gestión de la variable de ubicación. Esto se ha solucionado mediante comprobaciones de propiedad adicionales.

CVE-2016-4758: Masato Kinugawa de Cure53

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: el procesamiento de contenido web con fines malintencionados puede provocar la ejecución de código arbitrario

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2016-4611: Apple

CVE-2016-4729: Apple

CVE-2016-4730: Apple

CVE-2016-4731: Apple

CVE-2016-4734: Natalie Silvanovich de Google Project Zero

CVE-2016-4735: André Bargull

CVE-2016-4737: Apple

CVE-2016-4759: Tongbo Luo de Palo Alto Networks

CVE-2016-4762: Zheng Huang de Baidu Security Lab

CVE-2016-4766: Apple

CVE-2016-4767: Apple

CVE-2016-4768: anónimo en colaboración con Zero Day Initiative de Trend Micro

CVE-2016-4769: Tongbo Luo de Palo Alto Networks

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: un sitio web con fines malintencionados puede acceder a servicios que no son HTTP

Descripción: la compatibilidad de Safari con HTTP/0.9 permitía aprovecharse de los servicios que no son HTTP entre protocolos volviendo a vincularlos DNS. El problema se ha solucionado restringiendo las respuestas HTTP/0.9 a los puertos predeterminados y cancelando la carga de recursos si el documento se cargaba con una versión del protocolo HTTP diferente.

CVE-2016-4760: Jordan Milne

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: el procesamiento de contenido web con fines malintencionados puede provocar la ejecución de código arbitrario

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de estados.

CVE-2016-4733: Natalie Silvanovich de Google Project Zero

CVE-2016-4765: Apple

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: un atacante en una posición de red privilegiada puede interceptar y alterar el tráfico de red a aplicaciones con WKWebView con HTTPS

Descripción: había un problema de validación de certificados en la gestión de WKWebView. Este problema se ha solucionado mejorando la validación.

CVE-2016-4763: investigador anónimo

WebKit

Disponible para: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12

Impacto: procesar contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de estados.

CVE-2016-4764: Apple

Entrada añadida el 3 de noviembre de 2016

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se proporciona sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, rendimiento o uso de sitios web o productos de terceros. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Ponte en contacto con el proveedor para obtener información adicional. Otros nombres de empresas o productos pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: