Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
watchOS 9.3
Publicado el 23 de enero de 2023
AppleMobileFileIntegrity
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: este problema se ha solucionado mejorando las comprobaciones para evitar acciones no autorizadas.
CVE-2023-32438: Csaba Fitzl (@theevilbit) de Offensive Security y Mickey Jin (@patch1t)
Entrada añadida el 5 de septiembre de 2023
AppleMobileFileIntegrity
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: este problema se ha solucionado habilitando el tiempo de ejecución reforzado.
CVE-2023-23499: Wojciech Reguła de SecuRing (wojciechregula.blog)
Crash Reporter
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: un usuario podría leer archivos arbitrarios como root.
Descripción: se ha solucionado una condición de carrera mediante una validación adicional.
CVE-2023-23520: Cees Elzinga
Entrada añadida el 6 de junio de 2023
FontParser
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: El procesamiento de un archivo de tipo de letra creado con fines malintencionados podría provocar la ejecución de código arbitrario. Apple está al tanto de un informe que indica que este problema puede haber sido explotado activamente contra versiones de iOS lanzadas antes de iOS 15.7.1.
Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.
CVE-2023-41990: Apple
Entrada añadida el 8 de septiembre de 2023
ImageIO
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: procesar una imagen podría provocar una denegación de servicio.
Descripción: se ha solucionado un problema de corrupción de memoria mejorando la gestión del estado.
CVE-2023-23519: Meysam Firouzi @R00tkitSMM de Mbition Mercedes-Benz Innovation Lab, Yiğit Can YILMAZ (@yilmazcanyigit) y jzhu trabajan con Trend Micro Zero Day Initiative
Entrada añadida el 5 de septiembre de 2023
Kernel
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app podría filtrar información confidencial sobre el estado del kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-23500: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. (@starlabs_sg)
Kernel
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app podría ser capaz de determinar el diseño de la memoria de kernel.
Descripción: se ha solucionado un problema de divulgación de información eliminando el código vulnerable.
CVE-2023-23502: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. (@starlabs_sg)
Kernel
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-23504: Adam Doupé de ASU SEFCOM
Maps
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2023-23503: investigador anónimo
Safari
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: visitar un sitio web podría provocar una denegación de servicio de la app.
Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.
CVE-2023-23512: Adriatik Raci
Screen Time
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app podría ser capaz de acceder a la información sobre los contactos de un usuario.
Descripción: el problema se ha solucionado mediante la mejora de la eliminación de datos privados para las entradas de registro.
CVE-2023-23505: Wojciech Reguła de SecuRing (wojciechregula.blog) y Csaba Fitzl (@theevilbit) de Offensive Security
Entrada actualizada el 6 de junio de 2023
Weather
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-23511: Wojciech Regula de SecuRing (wojciechregula.blog), un investigador anónimo
WebKit
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: procesar contenido web puede provocar la ejecución de código arbitrario
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
WebKit Bugzilla: 248885
CVE-2023-32393: Francisco Alonso (@revskills)
Entrada añadida el 28 de junio de 2023
WebKit
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: un documento HTML podría mostrar iframes con información confidencial del usuario.
Descripción: este problema se ha solucionado mejorando la aplicación de la zona protegida de iframe.
WebKit Bugzilla: 241753
CVE-2022-0108: Luan Herrera (@lbherrera_)
Entrada añadida el 6 de junio de 2023
WebKit
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
WebKit Bugzilla: 245464
CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren y Hang Shu del Instituto de Tecnología Informática, Academia China de Ciencias
WebKit
Disponible para: Apple Watch Series 4 y modelos posteriores
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
WebKit Bugzilla: 248268
CVE-2023-23518: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107), Dohyun Lee (@l33d0hyun) del equipo ApplePIE
WebKit Bugzilla: 248268
CVE-2023-23517: YeongHyeon Choi (@hyeon101010), Hyeon Park (@tree_segment), SeOk JEON (@_seokjeon), YoungSung Ahn (@_ZeroSung), JunSeo Bae (@snakebjs0107), Dohyun Lee (@l33d0hyun) del equipo ApplePIE
Otros agradecimientos
AppleMobileFileIntegrity
Queremos dar las gracias por su ayuda a Csaba Fitzl (@theevilbit) de Offensive Security.
Entrada añadida el 6 de junio de 2023
Core Data
Nos gustaría dar las gracias a Austin Emmitt (@alkalinesec), Investigador de seguridad sénior en Trellix Advanced Research Center, por su ayuda.
Entrada añadida el 8 de septiembre de 2023
Kernel
Nos gustaría dar las gracias a Nick Stenning de Replicate por su ayuda.
WebKit
Nos gustaría dar las gracias a Eliya Stein de Confiant por su ayuda.