Acerca del contenido de seguridad de macOS Mojave 10.14.6, Actualización de seguridad 2019-004 High Sierra, Actualización de seguridad 2019-004 Sierra

En este documento se describe el contenido de seguridad de macOS Mojave 10.14.6, Actualización de seguridad 2019-004 High Sierra, Actualización de seguridad 2019-004 Sierra.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

macOS Mojave 10.14.6, Actualización de seguridad 2019-004 High Sierra, Actualización de seguridad 2019-004 Sierra

Disponible el 22 de julio de 2019

AppleGraphicsControl

Disponible para: macOS Mojave 10.14.5

Impacto: una aplicación podría leer la memoria restringida

Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.

CVE-2019-8693: Arash Tohidi de Solita

autofs

Disponible para: macOS Sierra 10.12.6, macOS Mojave 10.14.5, macOS High Sierra 10.13.6

Impacto: al extraer un archivo zip que incluye un enlace simbólico a un punto de conexión situado en un volumen NFS controlado por el atacante, podrían pasarse por alto las comprobaciones de Gatekeeper

Descripción: este problema se ha solucionado realizando controles adicionales de Gatekeeper en los archivos creados en un recurso de red compartido.

CVE-2019-8656: Filippo Cavallarin

Bluetooth

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: un atacante remoto podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2018-19860

Núcleo de carbono

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.

CVE-2019-8661: Natalie Silvanovich de Google Project Zero

Core Data

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría filtrar memoria

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8646: Natalie Silvanovich de Google Project Zero

Core Data

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2019-8660: Samuel Groß y Natalie Silvanovich de Google Project Zero

Administración de discos

Disponible para: macOS Mojave 10.14.5

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8697: ccpwd en colaboración con Zero Day Initiative de Trend Micro

FaceTime

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2019-8648: Tao Huang y Tielei Wang de Team Pangu

Encontrado en apps

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría filtrar memoria

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2019-8663: Natalie Silvanovich de Google Project Zero

Foundation

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8641: Samuel Groß y Natalie Silvanovich de Google Project Zero

Grapher

Disponible para: macOS Mojave 10.14.5

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8695: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Drivers de gráficos

Disponible para: macOS Mojave 10.14.5, macOS High Sierra 10.13.6

Impacto: una aplicación podría leer la memoria restringida

Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.

CVE-2019-8691: Aleksandr Tarasikov (@astarasikov), Arash Tohidi de Solita, Lilang Wu y Moony Li del equipo Mobile Security Research Team de Trend Micro en colaboración con la Zero Day Initiative de Trend Micro

CVE-2019-8692: Lilang Wu y Moony Li del equipo Mobile Security Research Team de Trend Micro en colaboración con la Zero Day Initiative de Trend Micro

Entrada actualizada el 25 de julio de 2019

Heimdal

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: existía un problema en Samba que podría permitir a los atacantes interceptar comunicaciones entre los servicios para realizar acciones no autorizadas

Descripción: este problema se ha solucionado mejorando las comprobaciones para evitar acciones no autorizadas.

CVE-2018-16860: Isaac Boukris y Andrew Bartlett del equipo de Samba y Catalyst

IOAcceleratorFamily

Disponible para: macOS Mojave 10.14.5

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8694: Arash Tohidi de Solita

libxslt

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: un atacante remoto podría ver información confidencial

Descripción: se ha solucionado un desbordamiento de pila mejorando la validación de entrada.

CVE-2019-13118: detectado por OSS-Fuzz

Vista Rápida

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: un atacante podría desencadenar una operación de uso después de liberación en una aplicación y deserializar un NSDictionary que no es de confianza

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2019-8662: Natalie Silvanovich y Samuel Groß de Google Project Zero

Safari

Disponible para: macOS Mojave 10.14.5

Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la barra de direcciones

Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.

CVE-2019-8670: Tsubasa FUJII (@reinforchu)

Seguridad

Disponible para: macOS Sierra 10.12.6 y macOS High Sierra 10.13.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8697: ccpwd en colaboración con Zero Day Initiative de Trend Micro

Siri

Disponible para: macOS Mojave 10.14.5

Impacto: un atacante remoto podría filtrar memoria

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8646: Natalie Silvanovich de Google Project Zero

Time Machine

Disponible para: macOS Mojave 10.14.5

Impacto: el estado del cifrado de una copia de seguridad de Time Machine podría ser incorrecto

Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.

CVE-2019-8667: Roland Kletzing de cyber:con GmbH

UIFoundation

Disponible para: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5

Impacto: Analizar un documento de Office creado con fines malintencionados podría provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8657: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

WebKit

Disponible para: macOS Mojave 10.14.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema de lógica en la gestión de la carga de documentos. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2019-8690: Sergei Glazunov de Google Project Zero

WebKit

Disponible para: macOS Mojave 10.14.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: existía un problema de lógica en la gestión de la carga sincrónica de páginas. Se ha solucionado este problema mediante la mejora de la gestión del estado.

CVE-2019-8649: Sergei Glazunov de Google Project Zero

WebKit

Disponible para: macOS Mojave 10.14.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.

CVE-2019-8658: akayn en colaboración con Zero Day Initiative de Trend Micro

WebKit

Disponible para: macOS Mojave 10.14.5

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2019-8644: G. Geshev en colaboración con Zero Day Initiative de Trend Micro

CVE-2019-8666: Zongming Wang (王宗明) y Zhe Jin (金哲) del centro de respuesta de seguridad de Chengdu de Qihoo 360 Technology Co. Ltd.

CVE-2019-8669: akayn en colaboración con Zero Day Initiative de Trend Micro

CVE-2019-8671: Apple

CVE-2019-8672: Samuel Groß de Google Project Zero

CVE-2019-8673: Soyeon Park y Wen Xu de SSLab en Georgia Tech

CVE-2019-8676: Soyeon Park y Wen Xu de SSLab en Georgia Tech

CVE-2019-8677: Jihui Lu de Tencent KeenLab

CVE-2019-8678: investigador anónimo, Anthony Lai (@darkfloyd1014) de Knownsec, Ken Wong (@wwkenwong) de VXRL, Jeonghoon Shin (@singi21a) de Theori, Johnny Yu (@straight_blast) de VX Browser Exploitation Group, Chris Chan (@dr4g0nfl4me) de VX Browser Exploitation Group, Phil Mok (@shadyhamsters) de VX Browser Exploitation Group, Alan Ho (@alan_h0) de Knownsec, Byron Wai de VX Browser Exploitation

CVE-2019-8679: Jihui Lu de Tencent KeenLab

CVE-2019-8680: Jihui Lu de Tencent KeenLab

CVE-2019-8681: G. Geshev en colaboración con Zero Day Initiative de Trend Micro

CVE-2019-8683: lokihardt de Google Project Zero

CVE-2019-8684: lokihardt de Google Project Zero

CVE-2019-8685: akayn, Dongzhuo Zhao en colaboración con ADLab de Venustech, Ken Wong (@wwkenwong) de VXRL, Anthony Lai (@darkfloyd1014) de VXRL, y Eric Lung (@Khlung1) de VXRL

CVE-2019-8686: G. Geshev en colaboración con Zero Day Initiative de Trend Micro

CVE-2019-8687: Apple

CVE-2019-8688: Insu Yun de SSLab en Georgia Tech

CVE-2019-8689: lokihardt de Google Project Zero

Otros agradecimientos

Aula

Queremos dar las gracias a Jeff Johnson de underpassapp.com por su ayuda.

Game Center

Queremos dar las gracias a Min (Spark) Zheng y Xiaolong Bai de Alibaba Inc. por su ayuda.

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se proporciona sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, rendimiento o uso de sitios web o productos de terceros. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Ponte en contacto con el proveedor para obtener información adicional. Otros nombres de empresas o productos pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: