Acerca del contenido de seguridad de Safari 11.1

En este documento se describe el contenido de seguridad de Safari 11.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Safari 11.1

Disponible el 29 de marzo de 2018

Safari

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la barra de direcciones

Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.

CVE-2018-4102: Kai Zhao del equipo de seguridad de 3H

CVE-2018-4116: @littlelailo, xisigr de Tencent's Xuanwu Lab (tencent.com)

Descargas de Safari

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: en la navegación privada, algunas descargas no se eliminaban de la lista de descargas

Descripción: existía un problema de filtración de información en la gestión de las descargas en la navegación privada de Safari. Este problema se ha solucionado con validaciones adicionales.

CVE-2018-4186: investigador anónimo

Entrada añadida el 2 de mayo de 2018

Autorrelleno de inicio de sesión en Safari

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: un sitio web malintencionado podría ocasionar el filtrado de datos rellenados automáticamente en Safari sin la interacción explícita del usuario.

Descripción: el autorelleno de Safari no requería la interacción explícita del usuario antes de llevarse a cabo. Este problema se ha solucionado mejorando la heurística del autorelleno.

CVE-2018-4137

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2018-4101: Yuan Deng de Ant-financial Light-Year Security Lab

CVE-2018-4114: detectado por OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team

CVE-2018-4121: Natalie Silvanovich de Google Project Zero

CVE-2018-4122: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4125: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4127: investigador anónimo en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng de Baidu Security Lab en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4130: Omair en colaboración con Zero Day Initiative de Trend Micro

CVE-2018-4161: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4162: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4163: WanderingGlitch de Zero Day Initiative de Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) de Qihoo 360 Vulcan Team

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: visitar un sitio web creado con fines malintencionados podría provocar un ataque basado en la vulnerabilidad de secuencias de comandos en sitios cruzados

Descripción: existía un problema de secuencias de comandos en sitios cruzados en Safari. Este problema se ha solucionado mejorando la validación de las direcciones URL.

CVE-2018-4133: Anton Lopanitsyn de Wallarm, Linus Särud de Detectify (detectify.com) e Yuji Tounai de NTT Communications Corporation

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada con tipos de indexación que provoca un fallo ASSERT

Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4113: detectado por OSS-Fuzz

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: procesar contenido web creado con fines malintencionados podría originar una denegación del servicio

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2018-4146: detectado por OSS-Fuzz

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: un sitio web creado con fines malintencionados podría ocasionar el filtrado de datos en orígenes cruzados

Descripción: existía un problema de orígenes cruzados con la API de obtención. Esto se ha solucionado mejorando la validación de las entradas.

CVE-2018-4117: investigador anónimo, investigador anónimo

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4207: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4208: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4209: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada con tipos de indexación provocaba un fallo

Descripción: había un problema de indexación de matrices en la gestión de una función de JavaScriptCore. Este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4210: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4212: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: una interacción inesperada provoca un fallo ASSERT

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2018-4213: detectado por OSS-Fuzz

Entrada añadida el 2 de mayo de 2018

WebKit

Disponible para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 y macOS High Sierra 10.13.4

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2018-4145: detectado por OSS-Fuzz

Entrada añadida el 18 de octubre de 2018

Otros agradecimientos

WebKit

Queremos agradecer a Johnny Nipper de Tinder Security Team su ayuda.

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se proporciona sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, rendimiento o uso de sitios web o productos de terceros. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Ponte en contacto con el proveedor para obtener información adicional. Otros nombres de empresas o productos pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: