Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
iOS 16.7 y iPadOS 16.7
Publicado el 21 de septiembre de 2023
App Store
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: un atacante remoto podría ser capaz de salir de su zona protegida de Web Content
Descripción: el problema se ha solucionado mediante la mejora de la gestión de los protocolos.
CVE-2023-40448: w0wbox
Entrada añadida el 26 de septiembre de 2023
Ask to Buy
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría acceder a la información protegida del usuario.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-38612: Chris Ross (Zoom)
Entrada añadida el 22 de diciembre de 2023
Biometric Authentication
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría divulgar datos de la memoria de kernel.
Descripción: se ha solucionado una lectura fuera de los límites mejorando la comprobación de límites.
CVE-2023-41232: Liang Wei de PixiePoint Security
Entrada añadida el 26 de septiembre de 2023
CoreAnimation
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: procesar contenido web podría provocar una denegación de servicio.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-40420: 이준성(Junsung Lee) de Cross Republic
Entrada añadida el 26 de septiembre de 2023
Core Image
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: es posible que una app pueda acceder a fotos editadas que se hayan guardado en un directorio temporal.
Descripción: se ha corregido un problema con una gestión mejorada de los archivos temporales.
CVE-2023-40438: Wojciech Regula de SecuRing (wojciechregula.blog)
Entrada añadida el 22 de diciembre de 2023
Game Center
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría acceder a los contactos
Descripción: el problema se ha solucionado mediante la mejora de la gestión de las cachés.
CVE-2023-40395: Csaba Fitzl (@theevilbit) de Offensive Security
Entrada añadida el 26 de septiembre de 2023
Kernel
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-41984: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd.
Entrada añadida el 26 de septiembre de 2023
Kernel
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: un atacante que haya conseguido ejecutar el código de kernel puede ser capaz de omitir las soluciones de la memoria del kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-41981: Linus Henze de Pinauten GmbH (pinauten.de)
Entrada añadida el 26 de septiembre de 2023
Kernel
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: un atacante local podría aumentar sus privilegios. Apple está al tanto de un informe que indica que este problema puede haber sido usado activamente contra versiones de iOS publicadas antes de iOS 16.7.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-41992: Bill Marczak of The Citizen Lab at The University of Toronto's Munk School and Maddie Stone of Google's Threat Analysis Group
libxpc
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría acceder a la información protegida del usuario.
Descripción: se ha solucionado el problema de autorización mejorando la gestión del estado.
CVE-2023-41073: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrada añadida el 26 de septiembre de 2023
libxpc
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría eliminar archivos para los que no tiene permiso.
Descripción: se ha solucionado un problema de permisos con restricciones adicionales.
CVE-2023-40454: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrada añadida el 26 de septiembre de 2023
libxslt
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: procesar contenidos web podría revelar información confidencial.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-40403: Dohyun Lee (@l33d0hyun) de PK Security
Entrada añadida el 26 de septiembre de 2023
MobileStorageMounter
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: un usuario podría ser capaz de elevar los privilegios
Descripción: se ha solucionado un problema de acceso mejorando las restricciones de acceso.
CVE-2023-41068: Mickey Jin (@patch1t)
Entrada añadida el 26 de septiembre de 2023
Passkeys
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: un atacante puede acceder a las llaves de acceso sin autenticación.
Descripción: se ha solucionado el problema con comprobaciones de permisos adicionales.
CVE-2023-40401: un investigador anónimo y weize she
Entrada añadida el 22 de diciembre de 2023
Pro Res
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app podría ejecutar código arbitrario con privilegios de kernel.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2023-41063: Certik Skyfall Team
Entrada añadida el 26 de septiembre de 2023
Safari
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: es posible que una app pueda identificar otras apps que ha instalado un usuario.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2023-35990: Adriatik Raci de Sentry Cybersecurity
Entrada añadida el 26 de septiembre de 2023
Security
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: una app creada con fines malintencionados podría omitir la validación de firmas. Apple está al tanto de un informe que indica que este problema puede haber sido usado activamente contra versiones de iOS publicadas antes de iOS 16.7.
Descripción: se ha solucionado un problema de validación de certificados.
CVE-2023-41991: Bill Marczak of The Citizen Lab at The University of Toronto's Munk School and Maddie Stone of Google's Threat Analysis Group
Share Sheet
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: es posible que una app pueda acceder a los datos confidenciales que se registran cuando un usuario comparte un enlace.
Descripción: se ha solucionado un problema de lógica mejorando las comprobaciones.
CVE-2023-41070: Kirin (@Pwnrin)
Entrada añadida el 26 de septiembre de 2023
WebKit
Disponible para: iPhone 8 y modelos posteriores, iPad Pro (todos los modelos), iPad Air 3.ª generación y modelos posteriores, iPad 5.ª generación y modelos posteriores, y iPad mini 5.ª generación y modelos posteriores.
Impacto: el procesamiento de contenido web puede provocar la ejecución de código arbitrario. Apple está al tanto de un informe que indica que este problema puede haber sido explotado activamente contra versiones de iOS lanzadas antes de iOS 16.7.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
WebKit Bugzilla: 261544
CVE-2023-41993: Bill Marczak de The Citizen Lab del Munk School de la Universidad de Toronto y Maddie Stone del Grupo de Análisis de Amenazas de Google
Otros agradecimientos
Apple Neural Engine
Queremos dar las gracias a pattern-f (@pattern_F_) de Ant Security Light-Year Lab por su ayuda.
Entrada añadida el 22 de diciembre de 2023
AppSandbox
Queremos dar las gracias a Kirin (@Pwnrin) por su ayuda.
Entrada añadida el 26 de septiembre de 2023
libxml2
Queremos dar las gracias por su ayuda a OSS-Fuzz y Ned Williamson de Google Project Zero.
Entrada añadida el 26 de septiembre de 2023
Kernel
Queremos dar las gracias por su ayuda a Bill Marczak de The Citizen Lab de The University of Toronto's Munk School y a Maddie Stone de Google's Threat Analysis Group.
WebKit
Queremos dar las gracias a Khiem Tran, Narendra Bhati de Suma Soft Pvt. Ltd, Pune (India).
Entrada añadida el 26 de septiembre de 2023
WebRTC
Queremos dar las gracias a un investigador anónimo por su ayuda.
Entrada añadida el 26 de septiembre de 2023