Acerca del contenido de seguridad de Safari 11.1
En este documento se describe el contenido de seguridad de Safari 11.1.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Safari 11.1
Safari
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la barra de direcciones
Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.
CVE-2018-4102: Kai Zhao del equipo de seguridad de 3H
CVE-2018-4116: @littlelailo, xisigr de Tencent's Xuanwu Lab (tencent.com)
Descargas de Safari
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: en la navegación privada, algunas descargas no se eliminaban de la lista de descargas
Descripción: existía un problema de filtración de información en la gestión de las descargas en la navegación privada de Safari. Este problema se ha solucionado con validaciones adicionales.
CVE-2018-4186: investigador anónimo
Autorrelleno de inicio de sesión en Safari
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: un sitio web malintencionado podría ocasionar el filtrado de datos rellenados automáticamente en Safari sin la interacción explícita del usuario.
Descripción: el autorrelleno de Safari no requería la interacción explícita del usuario antes de llevarse a cabo. Este problema se ha solucionado mejorando la heurística de la función de autorrelleno.
CVE-2018-4137
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.
CVE-2018-4101: Yuan Deng de Ant-financial Light-Year Security Lab
CVE-2018-4114: detectado por OSS-Fuzz
CVE-2018-4118: Jun Kokatsu (@shhnjk)
CVE-2018-4119: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro
CVE-2018-4120: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team
CVE-2018-4121: natashenka de Google Project Zero
CVE-2018-4122: WanderingGlitch de Zero Day Initiative de Trend Micro
CVE-2018-4125: WanderingGlitch de Zero Day Initiative de Trend Micro
CVE-2018-4127: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro
CVE-2018-4128: Zach Markley
CVE-2018-4129: likemeng de Baidu Security Lab en colaboración con Zero Day Initiative de Trend Micro
CVE-2018-4130: Omair en colaboración con Zero Day Initiative de Trend Micro
CVE-2018-4161: WanderingGlitch de Zero Day Initiative de Trend Micro
CVE-2018-4162: WanderingGlitch de Zero Day Initiative de Trend Micro
CVE-2018-4163: WanderingGlitch de Zero Day Initiative de Trend Micro
CVE-2018-4165: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: visitar un sitio web creado con fines malintencionados podría provocar un ataque basado en la vulnerabilidad de secuencias de comandos en sitios cruzados
Descripción: existía un problema de secuencias de comandos en sitios cruzados en Safari. Este problema se ha solucionado mejorando la validación de las direcciones URL.
CVE-2018-4133: Anton Lopanitsyn de Wallarm, Linus Särud de Detectify (detectify.com) e Yuji Tounai de NTT Communications Corporation
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada con tipos de indexación que provoca un fallo ASSERT
Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4113: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: procesar contenido web creado con fines malintencionados podría originar una denegación del servicio
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2018-4146: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: un sitio web creado con fines malintencionados podría ocasionar el filtrado de datos en orígenes cruzados
Descripción: existía un problema de orígenes cruzados con la API de obtención. Esto se ha solucionado mejorando la validación de las entradas.
CVE-2018-4117: investigador anónimo, investigador anónimo
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada provoca un fallo ASSERT
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4207: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada provoca un fallo ASSERT
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4208: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada provoca un fallo ASSERT
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4209: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada con tipos de indexación provocaba un fallo
Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4210: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada provoca un fallo ASSERT
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4212: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: una interacción inesperada provoca un fallo ASSERT
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2018-4213: detectado por OSS-Fuzz
WebKit
Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código
Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.
CVE-2018-4145: detectado por OSS-Fuzz
Otros agradecimientos
WebKit
Queremos agradecer a Johnny Nipper de Tinder Security Team su ayuda.
La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.