Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
iOS 15.7.2 y iPadOS 15.7.2
Disponible el 13 de diciembre de 2022
AppleAVD
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: procesar un archivo de vídeo creado con fines malintencionados podría provocar la ejecución de código del kernel.
Descripción: se ha solucionado un problema de escritura fuera de los límites al mejorar la validación de las entradas.
CVE-2022-46694: Andrey Labunets y Nikita Tarakanov
AVEVideoEncoder
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.
CVE-2022-42848: ABC Research s.r.o
File System
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría salir de su zona protegida.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2022-42861: pattern-f (@pattern_F_) de Ant Security Light-Year Lab
Graphics Driver
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: procesar un archivo de vídeo creado con fines malintencionados podría provocar el cierre inesperado del sistema.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2022-42846: Willy R. Vasquez de la Universidad de Texas en Austin
IOHIDFamily
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de condición de carrera mediante la mejora de la gestión del estado.
CVE-2022-42864: Tommy Muir (@Muirey03)
iTunes Store
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: un usuario remoto podría provocar el cierre inesperado de una app o la ejecución arbitraria de código.
Descripción: existía un problema en el análisis de las URL. Se ha solucionado el problema mejorando la validación de las entradas.
CVE-2022-42837: Weijia Dai (@dwj1210) de Momo Security
Kernel
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado una condición de carrera mediante una validación adicional.
CVE-2022-46689: Ian Beer de Google Project Zero
libxml2
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: un usuario remoto podría provocar el cierre inesperado de una app o la ejecución arbitraria de código.
Descripción: se ha solucionado un desbordamiento de enteros mejorando la validación de las entradas.
CVE-2022-40303: Maddie Stone, de Google Project Zero
libxml2
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: un usuario remoto podría provocar el cierre inesperado de una app o la ejecución arbitraria de código.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2022-40304: Ned Williamson y Nathan Wachholz, de Google Project Zero
ppp
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2022-42840: investigador anónimo
Preferences
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: una app podría utilizar autorizaciones arbitrarias.
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
CVE-2022-42855: Ivan Fratric de Google Project Zero
Safari
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: visitar un sitio web que incluye contenido malintencionado podría provocar la suplantación de la interfaz del usuario.
Descripción: existía un problema de suplantación en la gestión de direcciones URL. Se ha solucionado el problema mejorando la validación de las entradas.
CVE-2022-46695: KirtiKumar Anandrao Ramchandani
TCC
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: es posible que una app pueda leer información de ubicación confidencial
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2022-46718: Michael (Biscuit) Thomas
Entrada añadida el 1 de mayo de 2023
Weather
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: es posible que una app pueda leer información de ubicación confidencial
Descripción: se ha solucionado un problema de lógica mejorando las restricciones.
CVE-2022-46703: Wojciech Reguła (@_r3ggi) de SecuRing y un investigador anónimo
Entrada añadida el 16 de marzo de 2023
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
WebKit Bugzilla: 245464
CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren y Hang Shu del Instituto de Tecnología Informática, Academia China de Ciencias
Entrada añadida el 16 de marzo de 2023
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: visitar un sitio web creado con fines malintencionados podría provocar la suplantación de la barra de direcciones
Descripción: existía un problema de suplantación en la gestión de direcciones URL. Se ha solucionado el problema mejorando la validación de las entradas.
CVE-2022-46705: Hyeon Park (@tree_segment) de ApplePIE
Entrada añadida el 16 de marzo de 2023
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de consumo de memoria mejorando la gestión de la memoria.
WebKit Bugzilla: 245466
CVE-2022-46691: investigador anónimo
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la revelación de la memoria de procesos
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2022-42852: hazbinhotel en colaboración con Zero Day Initiative de Trend Micro
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría omitir la política de mismo origen.
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado un problema de corrupción de memoria mediante la mejora de la validación de las entradas.
WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß de Google V8 Security
WebKit
Disponible para: iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad 5.ª generación y posteriores, iPad mini 4 y posteriores, y iPod touch (7.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario. Apple está al tanto de un informe que indica que este problema se puede haber explotado activamente contra versiones de iOS lanzadas antes de iOS 15.1.
Descripción: se ha solucionado un problema de confusión de tipo mejorando la gestión del estado.
WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lecigne de Threat Analysis Group de Google