Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
tvOS 16.5
Publicado el 18 de mayo de 2023
Accessibility
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que los derechos y permisos de privacidad otorgados a esta app pueden ser utilizados por una app malintencionada.
Descripción: este problema se ha solucionado mejorando las comprobaciones.
CVE-2023-32400: Mickey Jin (@patch1t)
Entrada añadida el 5 de septiembre de 2023
Accounts
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un atacante podría filtrar correos electrónicos de cuentas de usuario
Descripción: se ha solucionado un problema de permisos mejorando la redacción de información confidencial.
CVE-2023-34352: Sergii Kryvoblotskyi of MacPaw Inc.
Entrada añadida el 5 de septiembre de 2023
AppleMobileFileIntegrity
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: este problema se ha solucionado mejorando las certificaciones.
CVE-2023-32411: Mickey Jin (@patch1t)
Core Location
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que una app pueda leer información de ubicación confidencial.
Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.
CVE-2023-32399: Adam M.
Entrada actualizada el 5 de septiembre de 2023
CoreServices
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: este problema se ha solucionado mejorando la ocultación de la información confidencial.
CVE-2023-28191: Mickey Jin (@patch1t)
GeoServices
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que una app pueda leer información de ubicación confidencial.
Descripción: el problema se ha solucionado mediante la mejora de la eliminación de datos privados para las entradas de registro.
CVE-2023-32392: Adam M.
Entrada actualizada el 5 de septiembre de 2023
ImageIO
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-32372: Meysam Firouzi @R00tkitSMM de Mbition Mercedes-Benz Innovation Lab en colaboración con Trend Micro Zero Day Initiative
Entrada actualizada el 5 de septiembre de 2023
ImageIO
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar una imagen podría provocar la ejecución arbitraria de código.
Descripción: se ha solucionado un desbordamiento de búfer mejorando la comprobación de límites.
CVE-2023-32384: Meysam Firouzi @R00tkitsmm en colaboración con Trend Micro Zero Day Initiative
IOSurfaceAccelerator
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría divulgar datos de la memoria de kernel.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-32354: Linus Henze de Pinauten GmbH (pinauten.de)
IOSurfaceAccelerator
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría provocar el cierre inesperado del sistema o la lectura de la memoria del kernel.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-32420: CertiK SkyFall Team y Linus Henze de Pinauten GmbH (pinauten.de)
Entrada actualizada el 5 de septiembre de 2023
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de confusión de tipo mediante la mejora de las comprobaciones.
CVE-2023-27930: 08Tc3wBB de Jamf
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado un problema de uso después de estar libre mediante la mejora de la gestión de la memoria.
CVE-2023-32398: Adam Doupé de ASU SEFCOM
Kernel
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría obtener privilegios de raíz.
Descripción: se ha solucionado un problema de condición de carrera mediante la mejora de la gestión del estado.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) de Synacktiv (@Synacktiv) en colaboración con Trend Micro Zero Day Initiative
LaunchServices
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría omitir las comprobaciones de Gatekeeper.
Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) de SecuRing (wojciechregula.blog)
Entrada añadida el 5 de septiembre de 2023
MallocStackLogging
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría obtener privilegios de raíz.
Descripción: se ha solucionado el problema mediante mejoras de la gestión de archivos.
CVE-2023-32428: Gergely Kalman (@gergely_kalman)
Entrada actualizada el 5 de septiembre de 2023
Metal
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: se ha solucionado un problema de lógica mejorando la gestión del estado.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
Model I/O
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar un modelo 3D podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
CVE-2023-32368: Mickey Jin (@patch1t)
NetworkExtension
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que una app pueda leer información de ubicación confidencial.
Descripción: este problema se ha solucionado mejorando la ocultación de la información confidencial.
CVE-2023-32403: Adam M.
Entrada actualizada el 5 de septiembre de 2023
NSURLSession
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría salir de su zona protegida.
Descripción: se ha solucionado el problema mediante mejoras del protocolo de gestión de archivos.
CVE-2023-32437: Thijs Alkemade de Computest Sector 7
Entrada actualizada el 5 de septiembre de 2023
Photos
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: las fotos del álbum Oculto de Fotos podían verse sin autenticarse a través del Buscador visual.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-32390: Julian Szulc
Entrada actualizada el 5 de septiembre de 2023
Sandbox
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría conservar el acceso a los archivos de configuración del sistema incluso después de que se le haya revocado el permiso.
Descripción: se ha solucionado el problema de autorización mejorando la gestión del estado.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa de FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) y Csaba Fitzl (@theevilbit) de Offensive Security
Share Sheet
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: se ha solucionado un problema de privacidad con una gestión mejorada de los archivos temporales.
CVE-2023-32432: Kirin (@Pwnrin)
Entrada actualizada el 5 de septiembre de 2023
Shortcuts
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un acceso directo podría utilizar información confidencial mediante ciertas acciones sin preguntar al usuario.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-32391: Wenchao Li y Xiaolong Bai de Alibaba Group
Entrada actualizada el 5 de septiembre de 2023
Shortcuts
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: este problema se ha solucionado mejorando las certificaciones.
CVE-2023-32404: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com), Mickey Jin (@patch1t) y un investigador anónimo
Entrada añadida el 5 de septiembre de 2023
Siri
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una persona con acceso físico a un dispositivo podría ver información de los contactos desde la pantalla bloqueada.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-32394: Khiem Tran
SQLite
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app creada podría evitar las preferencias de privacidad.
Descripción: se ha solucionado el problema añadiendo restricciones adicionales al registro SQLite.
CVE-2023-32422: Gergely Kalman (@gergely_kalman) y Wojciech Reguła de SecuRing (wojciechregula.blog)
Entrada actualizada el 2 de junio de 2023
StorageKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app malintencionada podría modificar las partes protegidas del sistema de archivos.
Descripción: este problema se ha solucionado mejorando las certificaciones.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
System Settings
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un ajuste del firewall de una app podría no surtir efecto después de salir de la app Ajustes.
Descripción: este problema se ha solucionado con la mejora de la gestión del estado.
CVE-2023-28202: Satish Panduranga y un investigador anónimo
Telephony
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un atacante remoto podría ser capaz de provocar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de uso después de estar libre mediante la mejora de la gestión de la memoria.
CVE-2023-32412: Ivan Fratric de Google Project Zero
TV App
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que una app pueda leer información de ubicación confidencial.
Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.
CVE-2023-32408: Adam M.
Weather
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: es posible que una app pueda leer información de ubicación confidencial.
Descripción: este problema se ha solucionado mejorando la ocultación de la información confidencial.
CVE-2023-32415: Wojciech Regula de SecuRing (wojciechregula.blog) y un investigador anónimo
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar contenidos web podría revelar información confidencial.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
WebKit Bugzilla: 255075
CVE-2023-32402: un investigador anónimo
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar contenidos web podría revelar información confidencial.
Descripción: se ha solucionado un problema de desbordamiento de búfer mejorando la gestión de la memoria.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: un atacante remoto podría ser capaz de salir de su zona protegida de Web Content. Apple tiene conocimiento de que este problema se ha explotado activamente.
Descripción: el problema se ha solucionado mediante la mejora de la comprobación de límites.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne del Threat Analysis Group de Google y Donncha Ó Cearbhaill del Laboratorio de Seguridad de Amnistía Internacional
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: procesar contenidos web podría revelar información confidencial. Apple tiene conocimiento de que este problema se ha explotado activamente.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la validación de las entradas.
WebKit Bugzilla: 254930
CVE-2023-28204: un investigador anónimo
WebKit
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: el procesamiento de contenido web creado con fines malintencionados podría provocar la ejecución de código arbitrario. Apple tiene conocimiento de que este problema se ha explotado activamente.
Descripción: se ha solucionado un problema de uso después de estar libre mediante la mejora de la gestión de la memoria.
WebKit Bugzilla: 254840
CVE-2023-32373: un investigador anónimo
Wi-Fi
Disponible para: Apple TV 4K (todos los modelos) y Apple TV HD
Impacto: una app podría divulgar datos de la memoria de kernel.
Descripción: este problema se ha solucionado mejorando la ocultación de la información confidencial.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd.
Otros agradecimientos
Accounts
Queremos dar las gracias a Sergii Kryvoblotskyi de MacPaw Inc. por su ayuda.
CloudKit
Queremos dar las gracias a Iconic por su ayuda.
libxml2
Queremos dar las gracias a OSS-Fuzz y Ned Williamson de Google Project Zero por su ayuda.
Reminders
Queremos dar las gracias a Kirin (@Pwnrin) por su ayuda.
Security
Queremos dar las gracias a Brandon Toms por su ayuda.
Share Sheet
Queremos dar las gracias a Kirin (@Pwnrin) por su ayuda.
Wallet
Queremos dar las gracias a James Duffy (mangoSecure) por su ayuda.