Acerca del contenido de seguridad de iTunes 12.10.8 para Windows

En este documento, se describe el contenido de seguridad de iTunes 12.10.8 para Windows.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

iTunes 12.10.8 para Windows

CoreGraphics

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2020-9883: Un investigador anónimo y Mickey Jin de Trend Micro

ImageIO

Disponible para Windows 7 y posteriores

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados ocasione la ejecución de código arbitrario

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación de entradas.

CVE-2020-27933: Xingwei Lin de Ant-Financial Light-Year Security Lab

ImageIO

Disponible para Windows 7 y posteriores

Impacto: Existían varios problemas de desbordamiento de búferes en openEXR.

Descripción: Se mejoraron las comprobaciones para solucionar varios problemas en openEXR.

CVE-2020-11758: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11759: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11760: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11761: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11762: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11763: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11764: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-11765: Xingwei Lin de Ant-Financial Light-Year Security Lab

ImageIO

Disponible para Windows 7 y posteriores

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados ocasione la ejecución de código arbitrario

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2020-9871: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9872: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9874: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9879: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9936: Mickey Jin de Trend Micro

CVE-2020-9937: Xingwei Lin de Ant-Financial Light-Year Security Lab

ImageIO

Disponible para Windows 7 y posteriores

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados ocasione la ejecución de código arbitrario

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2020-9873: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9938: Xingwei Lin de Ant-Financial Light-Year Security Lab

CVE-2020-9984: Un investigador anónimo

ImageIO

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2020-9919: Mickey Jin de Trend Micro

ImageIO

Disponible para Windows 7 y posteriores

Impacto: La apertura de un archivo PDF creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2020-9876: Mickey Jin de Trend Micro

ImageIO

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.

CVE-2020-9877: Xingwei Lin de Ant-Financial Light-Year Security Lab

ImageIO

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.

CVE-2020-9875: Mickey Jin de Trend Micro

libxml2

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de XML creado con fines malintencionados podía ocasionar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

Descripción: Se solucionó un problema de uso después de liberación mejorando la administración de la memoria.

CVE-2020-9926: Detectado por OSS-Fuzz

WebKit

Disponible para Windows 7 y posteriores

Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2020-9894: 0011 en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Disponible para Windows 7 y posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía impedir que se aplicaran las políticas de seguridad del contenido

Descripción: Existía un problema de acceso en las políticas de seguridad del contenido. Para solucionar este problema, se mejoraron las restricciones de acceso.

CVE-2020-9915: Ayoub AIT ELMOKHTAR de Noon

WebKit

Disponible para Windows 7 y posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar un ataque de scripts de sitios universal

Descripción: para solucionar un problema de lógica Se mejoró la administración de estado.

CVE-2020-9925: Un investigador anónimo

WebKit

Disponible para Windows 7 y posteriores

Impacto: Un atacante remoto podía ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2020-9893: 0011 en colaboración con la iniciativa Zero Day de Trend Micro

CVE-2020-9895: Wen Xu de SSLab, Georgia Tech

WebKit

Disponible para Windows 7 y posteriores

Impacto: Un atacante malintencionado con una función de lectura y escritura arbitraria podía omitir la autenticación del puntero

Descripción: Se mejoró la lógica para solucionar varios problemas.

CVE-2020-9910: Samuel Groß de Google Project Zero

Carga de la página WebKit

Disponible para Windows 7 y posteriores

Impacto: Un atacante malintencionado podía ocultar el destino de una dirección URL

Descripción: Se mejoró la administración de estados para solucionar un problema de codificación Unicode de URL.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

Inspector web Webkit

Disponible para Windows 7 y posteriores

Impacto: La copia de una URL desde el inspector web podía provocar la inyección de comandos

Descripción: Existía un problema de inyección de comandos en el inspector web. Para solucionar este problema, se mejoró el escape de caracteres.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

Otros agradecimientos

ImageIO

Nos gustaría darle las gracias a Xingwei Lin de Ant-Financial Light-Year Security Lab por su ayuda.