Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, comunicará ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.
Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante CVE-ID.
Para obtener más información sobre seguridad, consulta la página Seguridad de los productos Apple.
iOS 16.7.6 y iPadOS 16.7.6
Publicado el 5 de marzo de 2024
Accessibility
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una aplicación podría suplantar notificaciones y elementos de la interfaz del sistema.
Descripción: el problema se ha solucionado con más comprobaciones de las autorizaciones.
CVE-2024-23262: Guilherme Rambo, de Best Buddy Apps (rambo.codes)
Entrada añadida el 7 de marzo de 2024
CoreCrypto
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: un atacante podría ser capaz de desencriptar textos RSA PKCS#1 v1.5 encriptados heredados sin tener la clave privada.
Descripción: se ha solucionado un problema de sincronización de canal lateral con mejoras en el cálculo de tiempo constante en funciones criptográficas.
CVE-2024-23218: Clemens Lang
Entrada añadida el 7 de marzo de 2024
ImageIO
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: procesar una imagen podría provocar la ejecución de código arbitrario.
Descripción: se ha solucionado un problema de desbordamiento de búfer mejorando la gestión de la memoria.
CVE-2024-23286: Dohyun Lee (@l33d0hyun)
Entrada añadida el 7 de marzo de 2024
ImageIO
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: procesar una imagen podría provocar la revelación de la memoria de procesos.
Descripción: se ha solucionado el problema mediante la mejora de la gestión de la memoria.
CVE-2024-23257: Junsung Lee en colaboración con Trend Micro Zero Day Initiative
Entrada añadida el 7 de marzo de 2024
Kernel
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: un atacante que tenga funciones arbitrarias de lectura y escritura podría ser capaz de omitir las protecciones de memoria de kernel. Apple tiene conocimiento de que este problema se ha explotado.
Descripción: se ha solucionado un problema de memoria mejorando la validación.
CVE-2024-23225
Kernel
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: se ha solucionado una condición de carrera mediante una validación adicional.
CVE-2024-23235
Entrada añadida el 7 de marzo de 2024
Kernel
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría provocar el cierre inesperado del sistema o la escritura de la memoria del kernel.
Descripción: se ha solucionado una vulnerabilidad de corrupción de la memoria mejorando el bloqueo.
CVE-2024-23265: Xinru Chi de Pangu Lab
Entrada añadida el 7 de marzo de 2024
libxpc
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría salir de su zona protegida.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2024-23278: investigador anónimo
Entrada añadida el 7 de marzo de 2024
MediaRemote
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app puede acceder a la información confidencial del usuario.
Descripción: este problema se ha solucionado mejorando la ocultación de la información confidencial.
CVE-2023-28826: Meng Zhang (鲸落) de NorthSea
Entrada añadida el 7 de marzo de 2024
Metal
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una aplicación podría leer la memoria restringida.
Descripción: se ha solucionado un problema de validación mejorando el saneamiento de entrada.
CVE-2024-23264: Meysam Firouzi @R00tkitsmm en colaboración con Trend Micro Zero Day Initiative
Entrada añadida el 7 de marzo de 2024
Notes
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: el problema se ha solucionado mediante la mejora de la eliminación de datos privados para las entradas de registro.
CVE-2024-23283
Entrada añadida el 7 de marzo de 2024
Safari
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: procesar contenido web podría provocar una denegación de servicio.
Descripción: el problema se ha solucionado mediante comprobaciones mejoradas.
CVE-2024-23259: Lyra Rebane (rebane2001)
Entrada añadida el 7 de marzo de 2024
Share Sheet
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría acceder a datos confidenciales de los usuarios.
Descripción: el problema se ha solucionado mediante la mejora de la eliminación de datos privados para las entradas de registro.
CVE-2024-23231: Kirin (@Pwnrin) y luckyu (@uuulucky)
Entrada añadida el 7 de marzo de 2024
Shortcuts
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: un acceso directo podría utilizar información confidencial mediante ciertas acciones sin preguntar al usuario.
Descripción: se ha solucionado el problema con comprobaciones de permisos adicionales.
CVE-2024-23204: Jubaer Alnazi (@h33tjubaer)
CVE-2024-23203: investigador anónimo
Entrada añadida el 7 de marzo de 2024
Siri
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una persona con acceso físico a un dispositivo podría usar Siri para acceder a información privada del calendario.
Descripción: se ha solucionado un problema de bloqueo de pantalla mejorando la gestión del estado.
CVE-2024-23289: Lewis Hardy
Entrada añadida el 7 de marzo de 2024
UIKit
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: una app podría salir de su zona protegida.
Descripción: el problema se ha solucionado eliminando el código vulnerable.
CVE-2024-23246: Deutsche Telekom Security GmbH, patrocinado por el Bundesamt für Sicherheit in der Informationstechnik
Entrada añadida el 7 de marzo de 2024
WebKit
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría impedir que se aplique la política de seguridad de contenido.
Descripción: se ha solucionado un problema de lógica con la mejora de la gestión del estado.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber y Marco Squarcina
Entrada añadida el 7 de marzo de 2024
WebKit
Disponible para: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5.ª generación), iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas (1.ª generación)
Impacto: el procesamiento de contenido web creado con fines malintencionados podría impedir que se aplique la política de seguridad de contenido.
Descripción: se ha solucionado un problema de lógica mejorando la validación.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
Entrada añadida el 7 de marzo de 2024