Acerca del contenido de seguridad de watchOS 5.3

En este documento se describe el contenido de seguridad de watchOS 5.3.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

watchOS 5.3

Disponible el 22 de julio de 2019

Core Data

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría filtrar memoria

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8646: Natalie Silvanovich de Google Project Zero

Core Data

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.

CVE-2019-8647: Samuel Groß y Natalie Silvanovich de Google Project Zero

Core Data

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2019-8660: Samuel Groß y Natalie Silvanovich de Google Project Zero

Digital Touch

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría filtrar memoria

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8624: Natalie Silvanovich de Google Project Zero

FaceTime

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2019-8648: Tao Huang y Tielei Wang de Team Pangu

Foundation

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8641: Samuel Groß y Natalie Silvanovich de Google Project Zero

Heimdal

Disponible para: Apple Watch Series 1 y posterior

Impacto: existía un problema en Samba que podría permitir a los atacantes interceptar comunicaciones entre los servicios para realizar acciones no autorizadas

Descripción: este problema se ha solucionado mejorando las comprobaciones para evitar acciones no autorizadas.

CVE-2018-16860: Isaac Boukris y Andrew Bartlett del equipo de Samba y Catalyst

libxslt

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría ver información confidencial

Descripción: se ha solucionado un desbordamiento de pila mejorando la validación de entrada.

CVE-2019-13118: detectado por OSS-Fuzz

Mensajes

Disponible para: Apple Watch Series 1 y posterior

Impacto: los usuarios eliminados de una conversación de iMessage podían seguir cambiando el estado

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2019-8659: Ryan Kontos (@ryanjkontos), Will Christensen de la Universidad de Oregón

Mensajes

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría provocar la finalización inesperada de la aplicación

Descripción: se ha solucionado un problema de denegación de servicio mejorando la validación.

CVE-2019-8665: Michael Hernandez de XYZ Marketing

Vista Rápida

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante podría desencadenar una operación de uso después de liberación en una aplicación y deserializar un NSDictionary que no es de confianza

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2019-8662: Natalie Silvanovich y Samuel Groß de Google Project Zero

Siri

Disponible para: Apple Watch Series 1 y posterior

Impacto: un atacante remoto podría filtrar memoria

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8646: Natalie Silvanovich de Google Project Zero

UIFoundation

Disponible para: Apple Watch Series 1 y posterior

Impacto: Analizar un documento de Office creado con fines malintencionados podría provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8657: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Wallet

Disponible para: Apple Watch Series 1 y posterior

Impacto: un usuario podría completar accidentalmente una compra en la app mientras se encuentra en la pantalla de bloqueo

Descripción: se ha solucionado el problema mediante la mejora de la gestión de la interfaz de usuario.

CVE-2019-8682: Jeff Braswell (JeffBraswell.com)

WebKit

Disponible para: Apple Watch Series 1 y posterior

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución universal de secuencias de comandos entre sitios

Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.

CVE-2019-8658: akayn en colaboración con Zero Day Initiative de Trend Micro

WebKit

Disponible para: Apple Watch Series 1 y posterior

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.

CVE-2019-8669: akayn en colaboración con Zero Day Initiative de Trend Micro

CVE-2019-8672: Samuel Groß de Google Project Zero

CVE-2019-8676: Soyeon Park y Wen Xu de SSLab en Georgia Tech

CVE-2019-8683: lokihardt de Google Project Zero

CVE-2019-8684: lokihardt de Google Project Zero

CVE-2019-8685: akayn, Dongzhuo Zhao en colaboración con ADLab de Venustech, Ken Wong (@wwkenwong) de VXRL, Anthony Lai (@darkfloyd1014) de VXRL, y Eric Lung (@Khlung1) de VXRL

CVE-2019-8688: Insu Yun de SSLab en Georgia Tech

CVE-2019-8689: lokihardt de Google Project Zero

Otros agradecimientos

MobileInstallation

Queremos dar las gracias a Dany Lisiansky (@DanyL931) por su ayuda.

 

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se proporciona sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, rendimiento o uso de sitios web o productos de terceros. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Ponte en contacto con el proveedor para obtener información adicional. Otros nombres de empresas o productos pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: