Acerca del contenido de seguridad de Safari 10.1.1

En este documento se describe el contenido de seguridad de Safari 10.1.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos de Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Safari 10.1.1

JavaScriptCore

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: procesar contenido web creado con fines malintencionados puede provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2017-7005: lokihardt de Google Project Zero

Safari

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: visitar un sitio web creado con fines malintencionados podría provocar una denegación de servicio de la aplicación

Descripción: se ha solucionado un problema con el menú Historial de Safari mejorando la gestión de la memoria.

CVE-2017-2495: Tubasa Iinuma (@llamakko_cafe) de Gehirn Inc.

Safari

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la barra de direcciones

Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.

CVE-2017-2500: Zhiyang Zeng y Yuyang Zhou de Tencent Security Platform Department

CVE-2017-2511: Zhiyang Zeng de Tencent Security Platform Department

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de un código arbitrario

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2017-2496: Apple

CVE-2017-2505: lokihardt de Google Project Zero

CVE-2017-2506: Zheng Huang del Baidu Security Lab en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2514: lokihardt de Google Project Zero

CVE-2017-2515: lokihardt de Google Project Zero

CVE-2017-2521: lokihardt de Google Project Zero

CVE-2017-2525: Kai Kang (4B5F5F4B) del Xuanwu Lab de Tencent (tencent.com) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2526: Kai Kang (4B5F5F4B) del Xuanwu Lab de Tencent (tencent.com) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2530: Wei Yuan del Baidu Security Lab, Zheng Huang del Baidu Security Lab en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2531: lokihardt de Google Project Zero

CVE-2017-2538: Richard Zhu (fluorescence) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2539: Richard Zhu (fluorescence) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2544: 360 Security (@mj0011sec) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-2547: lokihardt de Google Project Zero, Team Sniper (Keen Lab y PC Mgr) en colaboración con Zero Day Initiative de Trend Micro

CVE-2017-6980: lokihardt de Google Project Zero

CVE-2017-6984: lokihardt de Google Project Zero

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema lógico en la gestión de los comandos del editor de WebKit. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2017-2504: lokihardt de Google Project Zero

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema lógico en la gestión de los nodos de contenedor de WebKit. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2017-2508: lokihardt de Google Project Zero

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema lógico en la gestión de los eventos pageshow. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2017-2510: lokihardt de Google Project Zero

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema lógico en la gestión de los marcos almacenados en caché de WebKit. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2017-2528: lokihardt de Google Project Zero

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de un código arbitrario

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2017-2536: Samuel Groß y Niklas Baumstark en colaboración con Zero Day Initiative de Trend Micro

WebKit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema lógico en la carga del marco. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2017-2549: lokihardt de Google Project Zero

Inspector Web para Webkit

Disponible para: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 y macOS Sierra 10.12.5

Impacto: una aplicación podría ejecutar código sin firmar

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2017-2499: George Dan (@theninjaprawn)

Otros agradecimientos

Safari

Queremos mostrar nuestro agradecimiento por su ayuda a Flyin9_L (ZhenHui Lee) (@ACITSEC).