Acerca del contenido de seguridad de macOS Catalina 10.15.1, actualización de seguridad 2019-001 y actualización de seguridad 2019-006

Este documento describe el contenido de seguridad de macOS Catalina 10.15.1, actualización de seguridad 2019-001 y actualización de seguridad 2019-006.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.

macOS Catalina 10.15.1, actualización de seguridad 2019-001, actualización de seguridad 2019-006

Publicado el 29 de octubre de 2019

Cuentas

Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: un atacante remoto podría filtrar memoria.

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8787: Steffen Klee de Secure Mobile Networking Lab en la Universidad Técnica de Darmstadt

Entrada actualizada el 11 de febrero de 2020

Cuentas

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: las transferencias de AirDrop podrían aceptarse inesperadamente en modo Todos.

Descripción: se ha solucionado un problema de lógica mejorando la validación.

CVE-2019-8796: Allison Husain de UC Berkeley

Entrada añadida el 4 de abril de 2020

AirDrop

Disponible para: macOS Catalina 10.15

Impacto: las transferencias de AirDrop podrían aceptarse inesperadamente en modo Todos.

Descripción: se ha solucionado un problema de lógica mejorando la validación.

CVE-2019-8796: Allison Husain de UC Berkeley

Entrada añadida el 4 de abril de 2020

AMD

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8748: Lilang Wu y Moony Li de Trend Micro Mobile Security Research Team

Entrada añadida el 11 de febrero de 2020

apache_mod_php

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: varios problemas en PHP.

Descripción: se han solucionado varios problemas actualizando a la versión 7.3.8 de PHP.

CVE-2019-11041

CVE-2019-11042

Entrada añadida el 11 de febrero de 2020

APFS

Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.

CVE-2019-8824: Mac en colaboración con Zero Day Initiative de Trend Micro

Entrada añadida el 11 de febrero de 2020

App Store

Disponible para: macOS Catalina 10.15

Impacto: un atacante local podría iniciar sesión en la cuenta de un usuario que haya iniciado sesión previamente sin credenciales válidas.

Descripción: se ha solucionado el problema de autenticación mejorando la gestión del estado.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

AppleGraphicsControl

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría leer la memoria restringida

Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.

CVE-2019-8817: Arash Tohidi

AppleGraphicsControl

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8716: Zhiyi Zhang del equipo Codesafe de Legendsec en el Grupo Qi’anxin y Zhuo Liang de Qihoo 360 Vulcan Team

Dominios asociados

Disponible para: macOS Catalina 10.15

Impacto: un procesamiento inadecuado de URL podría conducir a una exfiltración de datos.

Descripción: existía un problema en el análisis de las URL. Se ha solucionado el problema mejorando la validación de las entradas.

CVE-2019-8788: Juha Lindstedt de Pakastin, Mirko Tanania y Rauli Rikama de Zero Keyboard Ltd

Audio

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: el procesamiento de un archivo de audio creado con fines malintencionados podría provocar la ejecución arbitraria de código

Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.

CVE-2019-8706: Yu Zhou de Ant-financial Light-Year Security Lab

Audio

Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8785: Ian Beer de Google Project Zero

CVE-2019-8797: 08Tc3wBB en colaboración con SSD Secure Disclosure

Entrada actualizada el 11 de febrero de 2020

Audio

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: procesar un archivo de audio creado con fines malintencionados podría mostrar memoria restringida

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8850: anónimo en colaboración con Zero Day Initiative de Trend Micro

Entrada actualizada el 18 de diciembre de 2019

Libros

Disponible para: macOS Catalina 10.15

Impacto: analizar un archivo de iBooks creado con fines malintencionados podría provocar la revelación de la información de los usuarios

Descripción: había un problema de validación en la gestión de los enlaces simbólicos. Se ha resuelto este problema mejorando la validación de los enlaces simbólicos.

CVE-2019-8789: Gertjan Franken de imec-DistriNet, KU Leuven

Contactos

Disponible para: macOS Catalina 10.15

Impacto: el procesamiento de un contacto creado con fines malintencionados podría provocar la suplantación de la interfaz del usuario.

Descripción: se ha solucionado un problema de inconsistencia en la interfaz del usuario mediante la mejora de la gestión del estado.

CVE-2017-7152: Oliver Paukstadt de Thinking Objects GmbH (to.com)

CoreAudio

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: reproducir un archivo creado con fines malintencionados podría provocar la ejecución de código arbitrario.

Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.

CVE-2019-8592: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Entrada añadida el 6 de noviembre de 2019

CoreAudio

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: procesar una película creada con fines malintencionados podría provocar la revelación de la memoria de procesos.

Descripción: se ha solucionado un problema de memoria mejorando la validación.

CVE-2019-8705: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Entrada añadida el 11 de febrero de 2020

CoreMedia

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.

Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.

CVE-2019-8825: detectado por GWP-ASan en Google Chrome

Entrada añadida el 11 de febrero de 2020

CUPS

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: un atacante que se encontrase en una posición de red privilegiada podría filtrar información confidencial de los usuarios

Descripción: se ha solucionado un problema de validación de las entradas mejorando dicha validación.

CVE-2019-8736: Pawel Gocyla de ING Tech Poland (ingtechpoland.com)

CUPS

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: el procesamiento de una cadena creada con fines maliciosos puede provocar daños en la memoria heap

Descripción: se ha solucionado un problema de consumo de memoria mejorando la gestión de la memoria.

CVE-2019-8767: Stephen Zeisberg

CUPS

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: un atacante en una posición privilegiada podría realizar un ataque de denegación de servicio

Descripción: se ha solucionado un problema de denegación de servicio mejorando la validación.

CVE-2019-8737: Pawel Gocyla de ING Tech Poland (ingtechpoland.com)

Cuarentena de archivos

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: una aplicación maliciosa podría elevar los privilegios

Descripción: el problema se ha solucionado eliminando el código vulnerable.

CVE-2019-8509: CodeColorist de Ant-Financial Light-Year Labs

Eventos del sistema de archivos

Disponible para: macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8798: ABC Research s.r.o. en colaboración con Zero Day Initiative de Trend Micro

Foundation

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución arbitraria de código.

Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.

CVE-2019-8746: Natalie Silvanovich y Samuel Groß de Google Project Zero

Entrada añadida el 11 de febrero de 2020

Gráficos

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: procesar un sombreador creado con fines malintencionados podría provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la validación de las entradas.

CVE-2018-12152: Piotr Bania de Cisco Talos

CVE-2018-12153: Piotr Bania de Cisco Talos

CVE-2018-12154: Piotr Bania de Cisco Talos

Driver de gráficos

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8784: Vasiliy Vasilyev e Ilya Finogeev de Webinar, LLC

Driver de gráficos Intel

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8807: Yu Wang de Didi Research America

IOGraphics

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: un usuario local podría ser capaz de provocar el cierre inesperado del sistema o leer la memoria del kernel

Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.

CVE-2019-8759: otra persona de 360 Nirvan Team

iTunes

Disponible para: macOS Catalina 10.15

Impacto: ejecutar el instalador de iTunes en un directorio que no es de confianza puede provocar la ejecución de código arbitrario.

Descripción: se ha producido un problema de carga de la biblioteca dinámica en la configuración de iTunes. Este problema se ha solucionado mejorando la búsqueda de las rutas.

CVE-2019-8801: Hou JingYi (@hjy79425575) de Qihoo 360 CERT

Kernel

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.

Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

Entrada añadida el 11 de febrero de 2020

Kernel

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría leer la memoria restringida

Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.

CVE-2019-8794: 08Tc3wBB en colaboración con SSD Secure Disclosure

Kernel

Disponible para: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8717: Jann Horn de Google Project Zero

CVE-2019-8786: Wen Xu del Instituto de Tecnología de Georgia, becaria de Microsoft Offensive Security Research

Entrada actualizada el 18 de noviembre de 2019; actualizada el 11 de febrero de 2020

Kernel

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: una aplicación creada con fines malintencionados podría determinar el diseño de la memoria de kernel

Descripción: existía un problema de corrupción de memoria en la gestión de paquetes IPv6. Este problema se ha solucionado mejorando la gestión de la memoria.

CVE-2019-8744: Zhuo Liang de Qihoo 360 Vulcan Team

Kernel

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

Descripción: se trató una vulnerabilidad de corrupción de la memoria mejorando el bloqueo.

CVE-2019-8829: Jann Horn de Google Project Zero

Entrada añadida el 6 de noviembre de 2019

libxml2

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: varios problemas en libxml2.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la validación de las entradas.

CVE-2019-8749: detectado por OSS-Fuzz

CVE-2019-8756: detectado por OSS-Fuzz

libxslt

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: varios problemas en libxslt.

Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la validación de las entradas.

CVE-2019-8750: detectado por OSS-Fuzz

manpages

Disponible para: macOS High Sierra 10.13.6 y macOS Catalina 10.15

Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz

Descripción: se ha solucionado un problema de validación mejorando la lógica.

CVE-2019-8802: Csaba Fitzl (@theevilbit)

PDFKit

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: un atacante podría filtrar el contenido de un PDF cifrado.

Descripción: existía un problema en la gestión de enlaces en PDF cifrados. Este problema se ha solucionado con la incorporación de un cuadro de diálogo de confirmación.

CVE-2019-8772: Jens Müller de la Universidad Ruhr de Bochum, Fabian Ising de la Universidad de Ciencias Aplicadas de Münster, Vladislav Mladenov de la Universidad Ruhr de Bochum, Christian Mainka de la Universidad Ruhr de Bochum, Sebastian Schinzel de la Universidad de Ciencias Aplicadas de Münster y Jörg Schwenk de la Universidad Ruhr de Bochum

Entrada añadida el 11 de febrero de 2020

PluginKit

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: un usuario local puede consultar la existencia de archivos arbitrarios.

Descripción: se ha solucionado un problema de lógica mejorando las restricciones.

CVE-2019-8708: investigador anónimo

PluginKit

Disponible para: macOS High Sierra 10.13.6 y macOS Mojave 10.14.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8715: investigador anónimo

Servidor de Compartir pantalla

Disponible para: macOS Catalina 10.15

Impacto: puede que un usuario que comparta su pantalla no pueda finalizar el uso compartido de la pantalla.

Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.

CVE-2019-8858: Saul van der Bijl de Saul's Place Counseling BV

Entrada añadida el 18 de diciembre de 2019

Extensiones del sistema

Disponible para: macOS Catalina 10.15

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: existía un problema de validación en la verificación de autorizaciones. Este problema se ha solucionado con una validación mejorada de la autorización del proceso.

CVE-2019-8805: Scott Knight (@sdotknight) de VMware Carbon Black TAU

UIFoundation

Disponible para: macOS Catalina 10.15

Impacto: un documento HTML creado con fines malintencionados podría mostrar iframes con información confidencial del usuario.

Descripción: existía un problema de orígenes cruzados con elementos “iframe”. Este problema se ha solucionado mejorando el seguimiento de los orígenes de seguridad.

CVE-2019-8754: Renee Trisberg de SpectX

Entrada añadida el 24 de febrero de 2020

UIFoundation

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: el procesamiento de un archivo de texto creado con fines malintencionados podría provocar la ejecución de código arbitrario

Descripción: se ha solucionado un desbordamiento de búfer con la mejora de la comprobación de límites.

CVE-2019-8745: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Entrada añadida el 11 de febrero de 2020

UIFoundation

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de sistema

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2019-8831: riusksk de VulWar Corp en colaboración con Zero Day Initiative de Trend Micro

Entrada añadida el 11 de febrero de 2020

UIFoundation

Disponible para: macOS Mojave 10.14.6 y macOS High Sierra 10.13.6

Impacto: analizar un archivo de texto creado con fines malintencionados podría provocar la revelación de la información del usuario.

Descripción: este problema se ha solucionado mejorando las comprobaciones.

CVE-2019-8761: Paulos Yibelo de Limehats y Renee Trisberg de SpectX

Entrada actualizada el 10 de agosto de 2020

Wi-Fi

Disponible para: macOS Catalina 10.15

Impacto: un atacante dentro del rango de alcance de la red wifi podría ver una pequeña parte del tráfico de red.

Descripción: existía un problema lógico en la gestión de las transiciones de estado. Este problema se ha solucionado mejorando la gestión del estado.

CVE-2019-15126: Milos Cermak en ESET

Entrada añadida el 11 de febrero de 2020

Otros agradecimientos

CFNetwork

Nos gustaría expresar nuestro agradecimiento a Lily Chen de Google por su ayuda.

Buscar

Nos gustaría expresar nuestro agradecimiento a Amr Elseehy por su ayuda.

Entrada añadida el 28 de julio de 2020

Kernel

Nos gustaría expresar nuestro agradecimiento a Brandon Azad de Google Project Zero, Daniel Roethlisberger de Swisscom CSIRT y Jann Horn de Google Project Zero por su ayuda.

Entrada actualizada el 6 de noviembre de 2019

libresolv

Nos gustaría expresar nuestro agradecimiento a enh de Google por su ayuda.

Autenticación local

Nos gustaría expresar nuestro agradecimiento a Ryan Lopopolo por su ayuda.

Entrada añadida el 11 de febrero de 2020

mDNSResponder

Nos gustaría expresar nuestro agradecimiento a Gregor Lang de e.solutions GmbH por su ayuda.

Entrada añadida el 11 de febrero de 2020

Postfix

Nos gustaría expresar nuestro agradecimiento a Chris Barker de Puppet por su ayuda.

python

Queremos dar las gracias a un investigador anónimo por su ayuda.

VPN

Nos gustaría expresar nuestro agradecimiento a Royce Gawron de Second Son Consulting, Inc por su ayuda.

La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.

Fecha de publicación: