Acerca de la Actualización de seguridad 2006-003
Este documento describe la Actualización de seguridad 2006-003, que se puede descargar e instalar a través de las preferencias de Actualización de software o desde Descargas de Apple.
Con el fin de proteger a nuestros clientes, Apple no revelará, comentará ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información acerca de la seguridad de los productos Apple, visita el sitio web Seguridad de los productos Apple.
Para obtener más información sobre la clave PGP de seguridad de los productos Apple, consulta “Cómo utilizar la clave PGP de seguridad de los productos Apple”.
Siempre que sea posible, se utilizan ID de CVE para hacer referencia a los puntos vulnerables a fin de obtener más información.
Para obtener más información acerca de otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.
Actualización de seguridad 2006-003
AppKit
ID de CVE: CVE-2006-1439
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: los caracteres introducidos en un campo de texto seguro pueden ser leídos por otras aplicaciones en la misma sesión de ventana.
Descripción: en determinadas circunstancias, al cambiar entre campos de entrada de texto, NSSecureTextField puede fallar al volver a activar la entrada segura de eventos. Esto puede permitir que otras aplicaciones de la misma sesión de ventana vean algunos caracteres de entrada y eventos de teclado. Esta actualización soluciona el problema garantizando que la entrada segura de eventos esté correctamente activada. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.
AppKit, ImageIO
ID de CVE: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: la visualización de una imagen GIF o TIFF creada con fines malintencionados puede provocar la ejecución arbitraria de código.
Descripción: la manipulación de imágenes GIF o TIFF mal formadas puede provocar la ejecución arbitraria de código al analizar una imagen creada con fines malintencionados. Esto afecta a las aplicaciones que utilizan el marco ImageIO (Mac OS X v10.4 Tiger) o AppKit (Mac OS X v10.3 Panther) para leer imágenes. Esta actualización soluciona el problema mediante la validación adicional de imágenes GIF y TIFF.
BOM
ID de CVE: CVE-2006-1985
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: expandir un archivo puede provocar la ejecución arbitraria de código.
Descripción: mediante la creación cuidadosa de un archivo (como un archivo Zip) que contenga nombres de ruta largos, un atacante puede ser capaz de desencadenar un desbordamiento de búfer de memoria dinámica en BOM. Esto puede dar lugar a una ejecución arbitraria de código. BOM se utiliza para manejar archivos en el Finder y en otras aplicaciones. Esta actualización soluciona el problema gestionando adecuadamente las condiciones límite.
BOM
ID de CVE: CVE-2006-1440
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: expandir un archivo malicioso puede provocar la creación o sobrescritura de archivos arbitrarios.
Descripción: un problema en el manejo de los enlaces simbólicos que atraviesan directorios encontrados en archivos comprimidos puede hacer que BOM cree o sobrescriba archivos en ubicaciones arbitrarias accesibles al usuario que expande el archivo comprimido. BOM gestiona los archivos en nombre del Finder y otras aplicaciones. Esta actualización soluciona el problema garantizando que los ficheros expandidos desde un archivo no se coloquen fuera del directorio de destino.
CFNetwork
ID de CVE: CVE-2006-1441
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: visitar sitios web maliciosos puede provocar la ejecución arbitraria de código.
Descripción: un desbordamiento de enteros en el manejo de la codificación de transferencia en fragmentos podría provocar la ejecución arbitraria de código. CFNetwork es utilizado por Safari y otras aplicaciones. Esta actualización resuelve el problema mediante la validación adicional. El problema no afecta a los sistemas anteriores a Mac OS X v10.4.
ClamAV
ID de CVE: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
Disponible para: Mac OS X Server v10.4.6
Impacto: el procesamiento de mensajes de correo electrónico creados con fines malintencionados con ClamAV puede provocar la ejecución arbitraria de código.
Descripción: el software de análisis de virus ClamAV se ha actualizado para incorporar correcciones de seguridad en la última versión. ClamAV se introdujo en Mac OS X Server v10.4 para escanear el correo electrónico. El más grave de estos problemas podría provocar la ejecución arbitraria de código con los privilegios de ClamAV. Para más información, consulta el sitio web del proyecto en http://www.clamav.net.
CoreFoundation
ID de CVE: CVE-2006-1442
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: el registro de un paquete no fiable puede provocar la ejecución arbitraria de código.
Descripción: en determinadas circunstancias, las aplicaciones o el sistema registran implícitamente los paquetes. Una característica de la API de paquetes permite que las bibliotecas dinámicas se carguen y ejecuten cuando se registra un paquete, aunque la aplicación cliente no lo solicite explícitamente. Como resultado, se puede ejecutar código arbitrario desde un paquete no fiable sin interacción explícita del usuario. Esta actualización soluciona el problema cargando y ejecutando solo las bibliotecas del paquete en el momento adecuado.
CoreFoundation
ID de CVE: CVE-2006-1443
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: las conversiones de cadenas a la representación del sistema de archivos pueden provocar la ejecución arbitraria de código.
Descripción: un subdesbordamiento de enteros durante el procesamiento de una condición límite en CFStringGetFileSystemRepresentation puede provocar la ejecución arbitraria de código. Las aplicaciones que utilizan esta API o alguna de las API relacionadas, como getFileSystemRepresentation:maxLength:withPath: de NSFileManager, pueden desencadenar el problema y provocar la ejecución arbitraria de código. Esta actualización soluciona el problema gestionando adecuadamente las condiciones límite.
CoreGraphics
ID de CVE: CVE-2006-1444
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: los caracteres introducidos en un campo de texto seguro pueden ser leídos por otras aplicaciones en la misma sesión de ventana.
Descripción: Quartz Events Services proporciona a las aplicaciones la capacidad de observar y alterar eventos de entrada de usuario de bajo nivel. Normalmente, las aplicaciones no pueden interceptar eventos cuando está activada la entrada segura de eventos. Sin embargo, la opción para habilitar acceso a dispositivos de asistencia está activada, Quartz Event Services puede utilizarse para interceptar eventos incluso cuando la entrada segura de eventos esté activada. Esta actualización soluciona el problema filtrando eventos cuando la entrada segura de eventos está activada. Este problema no afecta a sistemas anteriores a Mac OS X v10.4. Gracias a Damien Bobillot por informar de este problema.
Finder
ID de CVE: CVE-2006-1448
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: lanzar un elemento de localización de internet puede provocar la ejecución arbitraria de código.
Descripción: los elementos de localización de internet son simples contenedores de URL que pueden hacer referencia a las URL http://, ftp:// y file://, así como a algunos otros esquemas de URL. Estos diferentes tipos de elementos de localización de internet son visualmente distintos y están pensados para ser seguros al lanzarlos explícitamente. Sin embargo, el esquema de la URL puede ser diferente del tipo de localización de internet. Como resultado, un atacante puede ser capaz de convencer a un usuario para que inicie un elemento supuestamente benigno (como una localización web en internet, http://) cuando en realidad se utiliza otro esquema de URL. En determinadas circunstancias, esto puede provocar la ejecución arbitraria de código. Esta actualización soluciona los problemas restringiendo el esquema de URL en función del tipo de localización de internet.
FTPServer
ID de CVE: CVE-2006-1445
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: las operaciones FTP realizadas por usuarios FTP autenticados pueden provocar la ejecución arbitraria de código.
Descripción: múltiples problemas en la gestión de nombres de ruta del servidor FTP podrían provocar un desbordamiento de búfer. Un usuario autenticado malintencionado puede ser capaz de provocar este desbordamiento, lo que puede provocar la ejecución arbitraria de código con los privilegios del servidor FTP. Esta actualización soluciona el problema gestionando adecuadamente las condiciones límite.
Flash Player
ID de CVE: CVE-2005-2628, CVE-2006-0024
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: la reproducción de contenido Flash puede provocar la ejecución arbitraria de código.
Descripción: Adobe Flash Player contiene vulnerabilidades críticas que pueden provocar la ejecución arbitraria de código cuando se cargan archivos especialmente diseñados. Puedes obtener más información en el sitio web de Adobe http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Esta actualización soluciona el problema incorporando la versión 8.0.24.0 de Flash Player.
ImageIO
ID de CVE: CVE-2006-1552
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: ver una imagen JPEG creada con fines malintencionados puede provocar la ejecución arbitraria de código.
Descripción: un desbordamiento de enteros en el procesamiento de metadatos JPEG puede provocar un desbordamiento de búfer de memoria dinámica. Mediante la elaboración cuidadosa de una imagen con metadatos JPEG erróneos, un atacante puede ser capaz de provocar la ejecución arbitraria de código al visualizar la imagen. Esta actualización resuelve el problema mediante la validación adicional de las imágenes. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4. Gracias a Brent Simmons de NewsGator Technologies, Inc. por informar de este problema.
Keychain
ID de CVE: CVE-2006-1446
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: una aplicación puede utilizar elementos de Llavero cuando está bloqueado.
Descripción: cuando Llavero está bloqueado, no es posible que las aplicaciones accedan a los elementos que contiene sin solicitar antes que se desbloquee el llavero. Sin embargo, una aplicación que haya obtenido una referencia a un elemento de Llavero antes de que esté bloqueado puede, en determinadas circunstancias, seguir utilizando ese elemento de Llavero independientemente de si el llavero está bloqueado o desbloqueado. Esta actualización soluciona el problema rechazando las solicitudes de uso de elementos de Llavero cuando está bloqueado. Gracias a Tobias Hahn de HU Berlin por informar de este problema.
LaunchServices
ID de CVE: CVE-2006-1447
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: ver un sitio web malicioso puede provocar la ejecución arbitraria de código.
Descripción: las extensiones largas de los nombres de archivo pueden impedir que la validación de descarga determine correctamente la aplicación con la que se puede abrir un elemento. Como resultado, un atacante puede ser capaz de saltarse la validación de descarga y hacer que Safari abra automáticamente contenido no seguro si la opción de abrir archivos “seguros” después de descargar está activada y ciertas aplicaciones no están instaladas. Esta actualización soluciona el problema mediante una comprobación mejorada de la extensión del nombre del archivo. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.
libcurl
ID de CVE: CVE-2005-4077
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: la gestión de direcciones URL en libcurl puede provocar la ejecución arbitraria de código.
Descripción: la biblioteca HTTP de código abierto libcurl contiene desbordamientos de búfer al gestionar direcciones URL. Las aplicaciones que utilizan curl para la gestión de URL pueden desencadenar el problema y provocar la ejecución arbitraria de código. Esta actualización soluciona el problema incorporando la versión 7.15.1 de libcurl. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.
Mail
ID de CVE: CVE-2006-1449
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: ver un mensaje de correo malicioso puede provocar la ejecución arbitraria de código.
Descripción: al preparar un mensaje de correo electrónico especialmente diseñado con archivos adjuntos encapsulados MacMIME, un atacante puede provocar un desbordamiento de enteros. Esto puede provocar la ejecución arbitraria de código con los privilegios del usuario que ejecuta Mail. Esta actualización soluciona el problema mediante la validación adicional de los mensajes.
Mail
ID de CVE: CVE-2006-1450
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: ver un mensaje de correo malicioso puede provocar la ejecución arbitraria de código.
Descripción: el manejo de información de color no válida en mensajes de correo electrónico de texto enriquecido podría provocar la asignación e inicialización de clases arbitrarias. Esto puede provocar la ejecución arbitraria de código con los privilegios del usuario que ejecuta Mail. Esta actualización soluciona el problema tratando adecuadamente los datos de texto enriquecido erróneos.
MySQL Manager
ID de CVE: CVE-2006-1451
Disponible para: Mac OS X Server v10.4.6
Impacto: es posible acceder a la base de datos MySQL con una contraseña vacía.
Descripción: durante la configuración inicial de un servidor de bases de datos MySQL mediante MySQL Manager, se puede proporcionar la nueva contraseña raíz de MySQL. Sin embargo, esta contraseña no se utiliza realmente. Como resultado, la contraseña raíz de MySQL permanecerá vacía. Un usuario local puede entonces obtener acceso a la base de datos MySQL con todos los privilegios. Esta actualización soluciona el problema garantizando que se guarde la contraseña introducida. Este problema no afecta a los sistemas anteriores a Mac OS X Server v10.4. Gracias a Ben Low, de la Universidad de Nueva Gales del Sur, por informar de este problema.
Preview
ID de CVE: CVE-2006-1452
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: navegar por una jerarquía de directorios creada con fines malintencionados puede provocar la ejecución arbitraria de código.
Descripción: al navegar por jerarquías de directorios muy profundas en Vista Previa, puede desencadenarse un desbordamiento de búfer de pila. Mediante la creación cuidadosa de una jerarquía de directorios de este tipo, un atacante puede provocar una ejecución arbitraria de código si los directorios se abren en Vista Previa. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.
QuickDraw
ID de CVE: CVE-2006-1453, CVE-2006-1454
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: ver una imagen PICT creada con fines malintencionados puede provocar la ejecución arbitraria de código.
Descripción: hay dos problemas que afectan a QuickDraw cuando procesa imágenes PICT. La información de fuente errónea puede causar un desbordamiento de búfer de pila, y los datos de imagen erróneos pueden causar un desbordamiento de búfer de memoria dinámica. Mediante la creación cuidadosa de una imagen PICT maliciosa, un atacante puede ser capaz de provocar la ejecución arbitraria de código al visualizar la imagen. Esta actualización soluciona el problema mediante la validación adicional de las imágenes PICT. Gracias a Mike Price de McAfee AVERT Labs por informar de este problema.
QuickTime Streaming Server
ID de CVE: CVE-2006-1455
Disponible para: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Impacto: una película de QuickTime errónea puede hacer que QuickTime Streaming Server se bloquee.
Descripción: una película de QuickTime a la que le falte una pista puede provocar una derivación de puntero nulo, haciendo que el proceso del servidor se bloquee. Esto hace que se interrumpan las conexiones activas de los clientes. Sin embargo, el servidor se reinicia automáticamente. Esta actualización soluciona el problema produciendo un error cuando se encuentran películas erróneas.
QuickTime Streaming Server
ID de CVE: CVE-2006-1456
Disponible para: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Impacto: las solicitudes RTSP creadas con fines malintencionados pueden provocar bloqueos o la ejecución arbitraria de código.
Descripción: mediante la elaboración cuidadosa de una solicitud RTSP, un atacante puede ser capaz de desencadenar un desbordamiento de búfer durante el registro de mensajes. Esto puede provocar la ejecución arbitraria de código con los privilegios de QuickTime Streaming Server. Esta actualización soluciona el problema gestionando adecuadamente las condiciones límite. Gracias al equipo de investigación de Mu Security por informar de este problema.
Ruby
ID de CVE: CVE-2005-2337
Disponible para: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: se pueden eludir las restricciones de nivel de seguridad de Ruby.
Descripción: el lenguaje de programación Ruby contiene un mecanismo llamado “niveles seguros” que se utiliza para restringir determinadas operaciones. Este mecanismo se utiliza sobre todo cuando se ejecutan aplicaciones Ruby privilegiadas o aplicaciones Ruby de red. En determinadas circunstancias, un atacante puede ser capaz de saltarse las restricciones de dichas aplicaciones. Las aplicaciones que no dependen de niveles seguros no se ven afectadas. Esta actualización soluciona el problema garantizando que no se puedan eludir los niveles seguros.
Safari
ID de CVE: CVE-2006-1457
Disponible para: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Impacto: visitar sitios web maliciosos puede provocar la manipulación de archivos o la ejecución arbitraria de código.
Descripción: cuando la opción de abrir archivos “seguros” después de descargarlos de Safari está activada, los archivos se expanden automáticamente. Si el archivo contiene un enlace simbólico, el enlace simbólico de destino puede moverse al escritorio del usuario e iniciarse. Esta actualización soluciona el problema al no resolver los enlaces simbólicos descargados. Este problema no afecta a los sistemas anteriores a Mac OS X v10.4.