Acerca del contenido de seguridad de macOS Big Sur 11.5
En este documento se describe el contenido de seguridad de macOS Big Sur 11.5.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
macOS Big Sur 11.5
Lanzado el miércoles, 21 de julio de 2021
AMD Kernel
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
CVE-2021-30805: ABC Research s.r.o
Analytics
Disponible para: macOS Big Sur
Impacto: un atacante local podría acceder a los datos analíticos.
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2021-30871: Denis Tokarev (@illusionofcha0s)
Entrada añadida el 25 de octubre de 2021, actualizada el 25 de mayo de 2022
AppKit
Disponible para: macOS Big Sur
Impacto: abrir un archivo creado con fines malintencionados podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de divulgación de información eliminando el código vulnerable.
CVE-2021-30790: hjy79425575 en colaboración con Zero Day Initiative de Trend Micro
App Store
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría evitar ciertas preferencias de privacidad.
Descripción: se ha solucionado un problema de permisos mediante la mejora de la validación.
CVE-2021-31006: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada añadida el 25 de mayo de 2022
Audio
Disponible para: macOS Big Sur
Impacto: un atacante local podría ser capaz de provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30781: tr3e
AVEVideoEncoder
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2021-30748: George Nosenko
CoreAudio
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de audio creado con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2021-30775: JunDong Xie de Ant Security Light-Year Lab
CoreAudio
Disponible para: macOS Big Sur
Impacto: reproducir un archivo de audio con fines malintencionados podría provocar una interrupción inesperada de la aplicación.
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2021-30776: JunDong Xie de Ant Security Light-Year Lab
CoreGraphics
Disponible para: macOS Big Sur
Impacto: la apertura de un archivo PDF diseñado con fines malintencionados podría provocar el cierre inesperado de la aplicación o la ejecución de código arbitrario
Descripción: se ha solucionado un problema de condición de carrera mediante la mejora de la gestión del estado.
CVE-2021-30786: ryuzaki
CoreServices
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30772: Zhongcheng Li (CK01)
CoreServices
Disponible para: macOS Big Sur
Impacto: un proceso aislado podría ser capaz de eludir las restricciones de la zona protegida
Descripción: se ha solucionado un problema de acceso mejorando las restricciones de acceso.
CVE-2021-30783: Ron Waisberg (@epsilan)
CoreStorage
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz
Descripción: se ha solucionado un problema de inyección con la mejora de la validación.
CVE-2021-30777: Tim Michaud (@TimGMichaud) de Zoom Video Communications y Gary Nield de ECSC Group plc
CoreText
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución de código arbitrario
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30789: Mickey Jin (@patch1t) de Trend Micro, Sunglin del equipo Knownsec 404
Crash Reporter
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2021-30774: Yizhuo Wang de Group of Software Security In Progress (G.O.S.S.I.P) en Shanghai Jiao Tong University
CVMS
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de obtener privilegios de raíz
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30780: Tim Michaud (@TimGMichaud) de Zoom Video Communications
dyld
Disponible para: macOS Big Sur
Impacto: un proceso aislado podría ser capaz de eludir las restricciones de la zona protegida
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2021-30768: Linus Henze (pinauten.de)
Family Sharing
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría tener acceso a datos sobre las cuentas con las que el usuario usa En familia.
Descripción: se ha solucionado un problema de permisos mediante la mejora de la validación.
CVE-2021-30817: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada añadida el 25 de octubre de 2021
Find My
Disponible para: macOS Big Sur
Impacto: una aplicación creada con fines malintencionados podría ser capaz de acceder a los datos de Buscar.
Descripción: se ha solucionado un problema de permisos mediante la mejora de la validación.
CVE-2021-30804: Csaba Fitzl (@theevilbit) de Offensive Security, Wojciech Reguła (@_r3ggi) de SecuRing
Entrada añadida el 22 de diciembre de 2022 y actualizada el 2 de mayo de 2023
FontParser
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución de código arbitrario
Descripción: se ha solucionado un desbordamiento de enteros mejorando la validación de las entradas.
CVE-2021-30760: Sunglin del equipo Knownsec 404
FontParser
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo tiff creado con fines malintencionados podría generar una denegación de servicio o una posible revelación del contenido de la memoria.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30788: tr3e en colaboración con Zero Day Initiative de Trend Micro
FontParser
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución de código arbitrario
Descripción: se ha solucionado un desbordamiento de pila mejorando la validación de entrada.
CVE-2021-30759: hjy79425575 en colaboración con Zero Day Initiative de Trend Micro
Identity Services
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría acceder a los contactos recientes del usuario.
Descripción: se ha solucionado un problema de permisos mediante la mejora de la validación.
CVE-2021-30803: Matt Shockley (twitter.com/mattshockl), Csaba Fitzl (@theevilbit) de Offensive Security
Entrada actualizada el 18 de noviembre de 2021
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30779: Jzhu, Ye Zhang (@co0py_Cat) de Baidu Security
ImageIO
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un desbordamiento de búfer mejorando la comprobación de límites.
CVE-2021-30785: CFF de Topsec Alpha Team, Mickey Jin (@patch1t) de Trend Micro
Intel Graphics Driver
Disponible para: macOS Big Sur
Impacto: una aplicación podría ser capaz de provocar el cierre inesperado del sistema o la escritura de la memoria del kernel
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30787: anónimo en colaboración con Zero Day Initiative de Trend Micro
Intel Graphics Driver
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30766: Liu Long de Ant Security Light-Year Lab
CVE-2021-30765: Yinyi Wu (@3ndy1) de Qihoo 360 Vulcan Team, Liu Long de Ant Security Light-Year Lab
Entrada actualizada el 18 de noviembre de 2021
IOKit
Disponible para: macOS Big Sur
Impacto: un atacante local podría ejecutar código en el chip de seguridad T2 de Apple.
Descripción: se han solucionado varios problemas mejorando la lógica.
CVE-2021-30784: George Nosenko
Kernel
Disponible para: macOS Big Sur
Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
CVE-2021-30793: Zuozhi Fan (@pattern_F_) de Ant Security TianQiong Lab
Kext Management
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría sortear las preferencias de privacidad.
Descripción: este problema se ha solucionado mejorando las certificaciones.
CVE-2021-30778: Csaba Fitzl (@theevilbit) de Offensive Security
LaunchServices
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría salir de su zona restringida.
Descripción: este problema se ha solucionado mejorando el saneamiento del entorno.
CVE-2021-30677: Ron Waisberg (@epsilan)
Entrada añadida el 25 de octubre de 2021
libxml2
Disponible para: macOS Big Sur
Impacto: un atacante remoto podría provocar la ejecución de código arbitrario.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-3518
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría originar la denegación del servicio.
Descripción: se ha solucionado un problema de lógica mejorando la validación.
CVE-2021-30796: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: procesar una imagen creada con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de escritura fuera de los límites mejorando la validación de las entradas.
CVE-2021-30792: anónimo en colaboración con Zero Day Initiative de Trend Micro
Model I/O
Disponible para: macOS Big Sur
Impacto: el procesamiento de un archivo creado con fines malintencionados puede provocar la revelación de información del usuario.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30791: anónimo en colaboración con Zero Day Initiative de Trend Micro
Networking
Disponible para: macOS Big Sur
Impacto: visitar un sitio web creado con fines malintencionados podría provocar una denegación de servicio del sistema
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
CVE-2021-1821: Georgi Valkov (httpstorm.com)
Entrada añadida el 25 de octubre de 2021
Sandbox
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría tener acceso a archivos restringidos.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30782: Csaba Fitzl (@theevilbit) de Offensive Security
Security
Disponible para: macOS Big Sur
Impacto: una aplicación podría obtener privilegios de alto nivel.
Descripción: se ha solucionado una condición de carrera con una mejora del bloqueo.
CVE-2021-31004: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada añadida el 25 de mayo de 2022
TCC
Disponible para: macOS Big Sur
Impacto: una aplicación maliciosa podría evitar ciertas preferencias de privacidad.
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
CVE-2021-30798: Mickey Jin (@patch1t) de Trend Micro en colaboración con Zero Day Initiative de Trend Micro
Entrada actualizada el 18 de noviembre de 2021
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión del estado.
CVE-2021-30758: Christoph Guttandin de Media Codings
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de uso después de estar libre mejorando la gestión de la memoria.
CVE-2021-30795: Sergei Glazunov de Google Project Zero
WebKit
Disponible para: macOS Big Sur
Impacto: procesar contenido web creado con fines malintencionados podría provocar la ejecución de código.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2021-30797: Ivan Fratric de Google Project Zero
WebKit
Disponible para: macOS Big Sur
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario.
Descripción: se han solucionado varios problemas de corrupción de memoria mejorando la gestión de la memoria.
CVE-2021-30799: Sergei Glazunov de Google Project Zero
Otros agradecimientos
configd
Queremos dar las gracias por su ayuda a Csaba Fitzl (@theevilbit) de Offensive Security.
CoreText
Queremos dar las gracias a Mickey Jin (@patch1t) de Trend Micro por su ayuda.
crontabs
Queremos dar las gracias por su ayuda a Csaba Fitzl (@theevilbit) de Offensive Security.
Power Management
Queremos dar las gracias a Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit) y Lisandro Ubiedo (@_lubiedo) de Stratosphere Lab.
Entrada añadida el 22 de diciembre de 2022
Sandbox
Queremos dar las gracias por su ayuda a Csaba Fitzl (@theevilbit) de Offensive Security.
Spotlight
Queremos dar las gracias por su ayuda a Csaba Fitzl (@theevilbit) de Offensive Security.
sysdiagnose
Queremos dar las gracias a Carter Jones (linkedin.com/in/carterjones/) y Tim Michaud (@TimGMichaud) de Zoom Video Communications, Csaba Fitzl (@theevilbit) de Offensive Security, Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab y Wojciech Reguła (@_r3ggi) de SecuRing por su ayuda.
Entrada añadida el 25 de mayo de 2022, actualizada el 16 de julio de 2024
La información sobre productos no fabricados por Apple, o sobre sitios web independientes no controlados ni comprobados por Apple, se facilita sin ningún tipo de recomendación ni respaldo. Apple no se responsabiliza de la selección, el rendimiento o el uso de sitios web o productos de otros fabricantes. Apple no emite ninguna declaración sobre la exactitud o fiabilidad de sitios web de otros fabricantes. Contacta con el proveedor para obtener más información.