Acerca del contenido de seguridad de Mac OS X v10.6.8 y la actualización de seguridad 2011-004

En este documento, se describe Mac OS X v10.6.8 y la actualización de seguridad 2011-004.

Puedes descargar e instalar esta actualización desde las preferencias de Actualización de software o desde la página Descargas de Apple.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o versiones necesarias. Para obtener más información sobre la seguridad de los productos Apple, consulta el sitio web Seguridad de los productos Apple.

Para obtener información acerca de la clave PGP de seguridad de los productos Apple, visita "Cómo usar la clave PGP de seguridad de los productos Apple".

Siempre que sea posible, se usan ID de CVE para hacer referencia a las vulnerabilidades a fin de obtener más información.

Para obtener información sobre las actualizaciones de seguridad, consulta "Actualizaciones de seguridad de Apple".

Mac OS X v10.6.8 y la actualización de seguridad 2011-004

  • AirPort

    Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8

    Impacto: Mientras se está conectado a una red Wi-Fi, un atacante en la misma red puede llegar a ocasionar un restablecimiento del sistema.

    Descripción: Existía un problema de lectura de memoria fuera de los límites en la administración de tramas Wi-Fi. Mientras se está conectado a una red Wi-Fi, un atacante en la misma red puede llegar a ocasionar un restablecimiento del sistema. Este problema no afecta a Mac OS X v10.6.

    ID CVE

    CVE-2011-0196

  • App Store

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La contraseña de la Identificación de Apple del usuario puede haberse registrado en un archivo local.

    Descripción: En determinadas circunstancias, App Store puede registrar la contraseña de la Identificación de Apple del usuario en un archivo que no pueden leer otros usuarios del sistema. Este problema se soluciona al mejorar la manipulación de las credenciales.

    ID CVE

    CVE-2011-0197: Paul Nelson

  • ATS

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización o la descarga de un documento que contiene una fuente incrustada creada con fines malintencionados podría provocar la ejecución de código arbitrario

    Descripción: Existía un desbordamiento del búfer de montículo en la administración de tipos de letra TrueType. La visualización o la descarga de un documento que contenga un tipo de letra incrustado creado con fines maliciosos podrían ocasionar la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0198: Harry Sintonen y Marc Schoenefeld, del Red Hat Security Response Team

  • Política de confianza en certificados

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Un atacante con una posición de red privilegiada puede interceptar las credenciales de usuario u otra información confidencial

    Descripción: Existía un problema relacionado con la administración de errores en la política de confianza en certificados. Si un certificado de validación extendida (EV) no tiene una URL de OCSP y la comprobación de CLR está habilitada, la CRL no se comprueba, y un certificado revocado quizá se acepte como válido. Este problema se resolvió, dado que la mayoría de los certificados EV especifican una URL de OCSP.

    ID CVE

    CVE-2011-0199: Chris Hawk y Wan-Teh Chang, de Google

  • ColorSync

    Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8

    Impacto: La visualización de una imagen creada con fines maliciosos con un perfil ColorSync integrado podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

    Descripción: Existía un desbordamiento de enteros en el procesamiento de imágenes con un perfil ColorSync integrado, lo cual podía provocar un desbordamiento en el búfer de montículo. La apertura de una imagen creada con fines maliciosos con un perfil ColorSync incrustado podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0200: binaryproof, en colaboración con Zero Day Initiative de TippingPoint

  • CoreFoundation

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Las aplicaciones que utilizan un marco de trabajo de CoreFoundation pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.

    Descripción: Existía un problema de desbordamiento del búfer en un byte en la administración de CFStrings. Las aplicaciones que utilizan un marco de trabajo de CoreFoundation pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0201: Harry Sintonen

  • CoreGraphics

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La apertura de un archivo PDF creado con fines maliciosos podría ocasionar el cierre inesperado de la app o la ejecución de código arbitrario

    Descripción: Existía un problema de desbordamiento de enteros en la administración de tipos de letra Type 1. La visualización o la descarga de un documento que contenga un tipo de letra incrustado creado con fines maliciosos podrían ocasionar la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0202: Cristian Draghici, de Modulo Consulting; Felix Grobert, del equipo de seguridad de Google

  • Servidor FTP

    Disponible para Mac OS X Server v10.6 a v10.6.7

    Impacto: Una persona con acceso al FTP podría generar listas de archivos en el sistema.

    Descripción: Existía un problema de validación de rutas en xftpd. Una persona con acceso al FTP podría generar un listado recursivo de directorios que comience por el directorio raíz y que incluya directorios que no se comparten para el FTP. Con el tiempo, la lista incluirá cualquiera de los archivos a los que el usuario del FTP podría acceder. El contenido de los archivos no se divulga. Este problema se solucionó mediante una validación de rutas mejorada. Este problema afecta únicamente a los sistemas Mac OS X Server.

    ID CVE

    CVE-2011-0203: Equipo karlkani

  • ImageIO

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Ver una imagen TIFF creada con fines maliciosos podía provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

    Descripción: Existía un desbordamiento del búfer de montículo en la administración de imágenes TIFF por parte de ImageIO. La visualización de una imagen TIFF creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0204: Dominic Chell, de NGS Secure

  • ImageIO

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Visitar un sitio web creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    Descripción: Existía un problema de desbordamiento del búfer de montículo en la administración de imágenes JPEG2000 por parte de ImageIO. Visitar un sitio web creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0205: Harry Sintonen

  • Componentes internacionales para Unicode

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Las aplicaciones que usan componentes internacionales para Unicode (ICU) podía ser vulnerables al cierre inesperado de la aplicación o la ejecución de código arbitrario.

    Descripción: Existía un problema de desbordamiento del búfer en la administración de cadenas con mayúsculas por parte de los ICU. Las aplicaciones que utilizan ICU pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0206: David Bienvenu, de Mozilla

  • Kernel

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Un usuario local puede provocar un restablecimiento del sistema.

    Descripción: Existía un problema de falta de referencia nula en la manipulación de las opciones de socket para IPV6. Un usuario local podría ocasionar un restablecimiento del sistema.

    ID CVE

    CVE-2011-1132: Thomas Clement, de Intego

  • Libsystem

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Las aplicaciones que utilizan la API glob(3) pueden estar expuestas a una denegación de servicio.

    Descripción: Las aplicaciones que utilizan la API glob(3) pueden estar expuestas a una denegación de servicio. Si el patrón glob proviene de una entrada que no es de confianza, la aplicación puede dejar de responder o utilizar demasiados recursos de la CPU. Este problema se solucionó con una mejora en la validación de los patrones glob.

    ID CVE

    CVE-2010-2632: Maksymilian Arciemowicz

  • libxslt

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Visitar un sitio web creado con fines malintencionados puede ocasionar la divulgación de direcciones del montón.

    Descripción: La implementación de libxsl de la función de XPath generar-id() ha divulgado la dirección de un búfer de montículo. Visitar un sitio web creado con fines maliciosos podría ocasionar la divulgación de direcciones en el montículo. Este problema se soluciona al generar una identificación basada en la diferencia entre las direcciones de dos búferes de montículo.

    ID CVE

    CVE-2011-0195: Chris Evans, del equipo de seguridad de Google Chrome

  • MobileMe

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Un atacante con una posición de red privilegiada podría leer los alias de correo electrónico de MobileMe de un usuario.

    Descripción: Al comunicarse con MobileMe para determinar los alias de correo electrónico de un usuario, Mail realiza solicitudes mediante HTTP. Como resultado, un atacante con una posición de red privilegiada podría leer los alias de correo electrónico de MobileMe de un usuario. Este problema se solucionó utilizando SSL para acceder a los alias de correo electrónico del usuario.

    ID CVE

    CVE-2011-0207: Aaron Sigel, de vtty.com

  • MySQL

    Disponible para Mac OS X Server v10.5.8 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Varias vulnerabilidades en MySQL 5.0.91.

    Descripción: MySQL se actualiza a la versión 5.0.92 para resolver varias vulnerabilidades, la más grave de las cuales podría ocasionar la ejecución de código arbitrario. MySQL se suministra solamente con sistemas Mac OS X Server.

    ID CVE

    CVE-2010-3677

    CVE-2010-3682

    CVE-2010-3833

    CVE-2010-3834

    CVE-2010-3835

    CVE-2010-3836

    CVE-2010-3837

    CVE-2010-3838

  • OpenSSL

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: varias vulnerabilidades en OpenSSL.

    Descripción: Existían varias vulnerabilidades en OpenSSL, la más grave de las cuales podía ocasionar la ejecución de código arbitrario. Estos problemas se solucionaron actualizando OpenSSL a la versión 0.9.8r.

    ID CVE

    CVE-2009-3245

    CVE-2010-0740

    CVE-2010-3864

    CVE-2010-4180

    CVE-2011-0014

  • revisión

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Ejecutar una revisión en un archivo creado con fines maliciosos podría dar como resultado que se creen o se sobrescriban archivos arbitrarios.

    Descripción: Existía un problema de cruce seguro de directorios en la revisión de GNU. Ejecutar una revisión en un archivo creado con fines maliciosos podría dar como resultado que se creen o sobrescriban archivos arbitrarios. Este problema se solucionó mejorando la validación de los archivos de revisión.

    ID CVE

    CVE-2010-4651

  • QuickLook

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La descarga de un archivo de Microsoft Office creado con fines malintencionados podría provocar el cierre de una aplicación de manera inesperada o la ejecución de código arbitrario.

    Descripción: Existía un problema de daño en la memoria en la manipulación de archivos de Microsoft Office por parte de QuickLook. La descarga de un archivo de Microsoft Office creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario. Este problema no afecta a los sistemas anteriores a Mac OS X v10.6.

    ID CVE

    CVE-2011-0208: Tobias Klein, en colaboración con iDefense VCP

  • QuickTime

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización de un archivo WAV creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    Descripción: Existía un problema de desbordamiento de enteros en la administración de los archivos WAV RIFF por parte de QuickTime. La visualización de un archivo WAV creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0209: Luigi Auriemma, en colaboración con Zero Day Initiative de TippingPoint

  • QuickTime

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización de un archivo de película creado con fines maliciosos podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

    Descripción: Existía un problema de errores de memoria en la administración de las tablas de muestra en los archivos de película de QuickTime por parte de dicho programa. La visualización de un archivo de película creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0210: Honggang Ren, de FortiGuard Labs de Fortinet

  • QuickTime

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización de un archivo de película creado con fines maliciosos podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

    Descripción: Existía un problema de desbordamiento de enteros en la administración de archivos de película por parte de QuickTime. La visualización de un archivo de película creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0211: Luigi Auriemma, en colaboración con Zero Day Initiative de TippingPoint

  • QuickTime

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización de una imagen PICT creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    Descripción: Existía un desbordamiento del búfer en la administración de imágenes PICT por parte de QuickTime. La visualización de una imagen PICT creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2010-3790: Subreption LLC, en colaboración con Zero Day Initiative de TippingPoint

  • QuickTime

    Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: La visualización de un archivo JPEG creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    Descripción: Existía un desbordamiento del búfer en la administración de archivos JPEG por parte de QuickTime. La visualización de un archivo JPEG creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0213: Luigi Auriemma, en colaboración con iDefense

  • Samba

    Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8

    Impacto: Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.

    Descripción: Existía un desbordamiento del búfer de pila en la administración de identificaciones de seguridad de Windows por parte de Samba. Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario. Para sistemas con Mac OS X v10.6, este problema se solucionó en Mac OS X 10.6.7.

    ID CVE

    CVE-2010-3069

  • Samba

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.

    Descripción: Existía un problema de errores de memoria en la administración de descriptores de archivos por parte de Samba. Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.

    ID CVE

    CVE-2011-0719: Volker Lendecke, de SerNet

  • servermgrd

    Disponible para Mac OS X Server v10.5.8 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Un atacante remoto podría leer los archivos arbitrarios del sistema.

    Descripción: Existía un problema relacionado con entidades externas XML en la administración de peticiones XML-RPC por parte de servermgrd. Este problema se solucionó eliminando la interfaz XML-RPC de servermgrd. Este problema afecta únicamente a los sistemas Mac OS X Server.

    ID CVE

    CVE-2011-0212: Apple

  • Subversion

    Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7

    Impacto: Si se configuró un servidor Subversion basado en http, un atacante remoto quizá pueda ocasionar una denegación de servicio.

    Descripción: Existía un problema al eliminar una referencia nula en la administración de los tokens de bloqueo enviados a través de HTTP por parte de Subversion. Si se configuró un servidor Subversion basado en http, un atacante remoto quizá pueda ocasionar una denegación de servicio. Para los sistemas con Mac OS X v10.6, Subversion se actualizó a la versión 1.6.6. Para los sistemas con Mac OS X v10.5.8, el problema se resolvió mediante la validación adicional de los tokens de bloqueo. Para obtener más información, visita el sitio web de Subversion en http://subversion.apache.org/

    ID CVE

    CVE-2011-0715

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: