Acerca del contenido de seguridad de OS X Yosemite v10.10

En este documento se describe el contenido de seguridad de OS X Yosemite v10.10.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que no se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o las versiones necesarias. Para obtener más información sobre la seguridad de los productos Apple, consulta el sitio web Seguridad de los productos Apple.

Para obtener más información sobre la clave PGP de seguridad de los productos Apple, consulta Cómo utilizar la clave PGP de seguridad de los productos Apple.

Siempre que sea posible, se utilizan ID CVE para hacer referencia a las vulnerabilidades a fin de obtener más información.

Para obtener información sobre otras actualizaciones de seguridad, consulta Actualizaciones de seguridad de Apple.

OS X Yosemite v10.10

  • 802.1X

    Impacto: un atacante puede obtener credenciales Wi-Fi

    Descripción: Un atacante podría hacerse pasar por un punto de acceso Wi-Fi, ofrecerse para autenticación con LEAP, romper el hash MS-CHAPv1 y usar las credenciales derivadas para autenticarse en dicho punto de acceso, incluso si este admitía métodos de autenticación más seguros. Este problema se solucionó deshabilitando LEAP por omisión.

    ID CVE

    CVE-2014-4364: Pieter Robyns, Bram Bonne, Peter Quax y Wim Lamotte de la Universiteit Hasselt

  • Servidor de archivos AFP

    Impacto: Un atacante remoto podía determinar todas las direcciones de red del sistema

    Descripción: El servidor de archivos AFP permitía el uso de un comando que devolvía todas las direcciones de red del sistema. Este problema se solucionó mediante la eliminación de las direcciones del resultado.

    ID CVE

    CVE-2014-4426 : Craig Young de Tripwire VERT

  • apache

    Impacto: Varias vulnerabilidades en Apache

    Descripción: Existían varias vulnerabilidades en Apache, la más grave de las cuales podía provocar una denegación del servicio. Estos problemas se solucionaron mediante la actualización de Apache con la versión 2.4.9.

    ID CVE

    CVE-2013-6438

    CVE-2014-0098

  • Zona protegida para apps

    Impacto: Una aplicación confinada por las limitaciones de la zona protegida podía hacer un uso inadecuado de la API de accesibilidad

    Descripción: Una app en la zona protegida podía utilizar inadecuadamente la API de accesibilidad sin el conocimiento del usuario. Este problema se solucionó mediante el agregado de un requisito de aprobación del administrador para usar la API de accesibilidad en cada aplicación de forma independiente.

    ID CVE

    CVE-2014-4427 : Paul S. Ziegler de Reflare UG

  • Bash

    Impacto: En determinadas configuraciones, un atacante remoto podría ejecutar comandos de shell arbitrarios

    Descripción: Existía un problema en el análisis de las variables de entorno por parte de Bash. Este problema se solucionó mediante la mejora del análisis de las variables de entorno con una mejor detección del final de la instrucción de la función.

    Esta actualización incorpora además el cambio propuesto CVE-2014-7169, que restablece el estado del analizador.

    Además, esta actualización agrega un nuevo espacio de nombres para funciones exportadas mediante la creación de un decorador de funciones que impide el paso inesperado de encabezados a Bash. Los nombres de todas las variables de entorno que introducen definiciones de funciones deben tener un prefijo "__BASH_FUNC<" y un sufijo ">()" para impedir el paso inesperado de funciones a través de encabezados HTTP.

    ID CVE

    CVE-2014-6271 : Stephane Chazelas

    CVE-2014-7169 : Tavis Ormandy

  • Bluetooth

    Impacto: Un dispositivo de entrada Bluetooth dañino podría eludir el enlace

    Descripción: Se permitían conexiones sin cifrar de dispositivos Bluetooth clase HID (dispositivo de interfaz humana) de bajo consumo. Si una Mac se había enlazado con uno de estos dispositivos, un atacante podía suplantar al dispositivo legítimo para establecer una conexión. Este problema se solucionó mediante la denegación de las conexiones HID sin cifrar.

    ID CVE

    CVE-2014-4428 : Mike Ryan de iSEC Partners

  • CFPreferences

    Impacto: La preferencia "Solicitar contraseña tras iniciarse el reposo o el protector de pantalla" podría no respetarse hasta después de reiniciar el equipo

    Descripción: Existía un problema de administración de sesiones al procesar la configuración de preferencias del sistema. Este problema se solucionó mediante el seguimiento mejorado de las sesiones.

    ID CVE

    CVE-2014-4425

  • Política de confianza en certificados

    Impacto: Actualización en la política de confianza en certificados

    Descripción: La política de confianza en certificados se actualizó. Se puede ver la lista completa de certificados en http://support.apple.com/kb/HT6005?viewlocale=es_LA.

  • CoreStorage

    Impacto: Un volumen cifrado podría permanecer bloqueado al ser expulsado

    Descripción: Cuando se expulsaba de forma lógica un volumen cifrado mientras estaba montado, el volumen se desmontaba, pero las claves se conservaban, por lo que el volumen podía haberse montado otra vez sin la contraseña. Este problema se solucionó mediante la eliminación de las claves al expulsar.

    ID CVE

    CVE-2014-4430 : Benjamin King de See Ben Click Computer Services LLC, Karsten Iwen, Dustin Li (http://dustin.li/), Ken J. Takekoshi y otros investigadores anónimos

  • CUPS

    Impacto: Un usuario local puede ejecutar código arbitrario con privilegios del sistema

    Descripción: Cuando la interfaz web CUPS servía archivos, seguía vínculos simbólicos. Un usuario local podía crear vínculos simbólicos con archivos arbitrarios y recuperarlos a través de la interfaz web. Este problema se solucionó mediante la desautorización del servicio de vínculos simbólicos a través de la interfaz web CUPS.

    ID CVE

    CVE-2014-3537

  • Dock

    Impacto: En determinadas circunstancias, las ventanas podrían ser visibles incluso estando la pantalla bloqueada

    Descripción: Existía un problema de administración de estado en el procesamiento del bloqueo de pantalla. Este problema se solucionó mediante un seguimiento mejorado del estado.

    ID CVE

    CVE-2014-4431 : Emil Sjölander de Umeå University

  • fdesetup

    Impacto: El comando fdesetup podría proporcionar estados erróneos acerca del estado de cifrado en el disco

    Descripción: Después de actualizar la configuración, pero antes de reiniciar, el comando fdesetup devolvía estados erróneos. Este problema se solucionó mediante la mejora del informe de estado.

    ID CVE

    CVE-2014-4432

  • iCloud: Buscar mi Mac

    Impacto: El PIN del modo Perdido de iCloud podría obtenerse mediante ataque de fuerza bruta

    Descripción: Un problema de persistencia de estado en la limitación de velocidad permitía ataques de fuerza bruta contra el PIN del modo Perdido de iCloud. Este problema se solucionó mediante una mejora de la persistencia de estado entre reinicios.

    ID CVE

    CVE-2014-4435: knoy

  • IOAcceleratorFamily

    Impacto: Una aplicación podría provocar una denegación de servicio

    Descripción: Existía un problema de falta de referencia de puntero nulo en el driver IntelAccelerator. Este problema se solucionó mediante la mejora del procesamiento de errores.

    ID CVE

    CVE-2014-4373: cunzhang de Adlab de Venustech

  • IOHIDFamily

    Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema

    Descripción: Existía un problema de falta de referencia de puntero nulo en el procesamiento de propiedades key-mapping por parte de IOHIDFamily. Este problema se solucionó mejorando la validación de las propiedades key-mapping de IOHIDFamily.

    ID CVE

    CVE-2014-4405: Ian Beer de Google Project Zero

  • IOHIDFamily

    Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema

    Descripción: Existía un problema de desbordamiento del búfer en el procesamiento de propiedades key-mapping por parte de IOHIDFamily. Este problema se solucionó mejorando la comprobación de los límites.

    ID CVE

    CVE-2014-4404: Ian Beer de Google Project Zero

  • IOHIDFamily

    Impacto: Una aplicación podría provocar una denegación de servicio

    Descripción: Existía un problema de lectura fuera de los límites en el driver IOHIDFamily. Este problema se solucionó mediante la mejora de la validación de entradas.

    ID CVE

    CVE-2014-4436 : cunzhang de Adlab, de Venustech

  • IOHIDFamily

    Impacto: Un usuario podría ejecutar código arbitrario con privilegios del sistema

    Descripción: Existía un problema de escritura fuera de los límites en el driver IOHIDFamily. Este problema se solucionó mediante la mejora de la validación de entradas.

    ID CVE

    CVE-2014-4380: cunzhang de Adlab de Venustech

  • IOKit

    Impacto: Una aplicación maliciosa podría leer datos no inicializados de la memoria del kernel.

    Descripción: Existía un problema de acceso a memoria no inicializada en la gestión de funciones IOKit. Este problema se solucionó mediante una mejora de la inicialización de la memoria.

    ID CVE

    CVE-2014-4407: @PanguTeam

  • IOKit

    Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema

    Descripción: Existía un problema de validación en la gestión de determinados campos de metadatos en objetos IODataQueue. Este problema se solucionó mediante la mejora de la validación de metadatos.

    ID CVE

    CVE-2014-4388: @PanguTeam

  • IOKit

    Impacto: Una aplicación malintencionada podría ejecutar código arbitrario con privilegios del sistema

    Descripción: Existía un problema de validación en la gestión de determinados campos de metadatos en objetos IODataQueue. Este problema se solucionó mediante la mejora de la validación de metadatos.

    ID CVE

    CVE-2014-4418: Ian Beer de Google Project Zero

  • Kernel

    Impacto: Un usuario local podría determinar el diseño de memoria del kernel

    Descripción: Existían múltiples problemas de memoria no inicializada en la interfaz de estadísticas de red que provocaban la divulgación de contenido de la memoria del kernel. Este problema se solucionó mediante la inicialización adicional de la memoria.

    ID CVE

    CVE-2014-4371: Fermín J. Serna del Google Security Team

    CVE-2014-4419: Fermín J. Serna del Google Security Team

    CVE-2014-4420: Fermín J. Serna del Google Security Team

    CVE-2014-4421: Fermín J. Serna del Google Security Team

  • Kernel

    Impacto: Un sistema de archivos creado con fines malintencionados podría provocar el apagado inesperado del sistema o la ejecución de código arbitrario

    Descripción: Existía un problema de desbordamiento del búfer de pila en el procesamiento de resource forks HFS. Un sistema de archivos creado con fines malintencionados podría provocar el apagado inesperado del sistema o la ejecución de código arbitrario con privilegios de kernel. Este problema se solucionó mediante la mejora de la comprobación de los límites.

    ID CVE

    CVE-2014-4433: Maksymilian Arciemowicz

  • Kernel

    Impacto: Un sistema de archivos malintencionado podría provocar el apagado inesperado del sistema

    Descripción: Existía un problema de falta de referencia nula en el procesamiento de nombres de archivo HFS. Un sistema de archivos creado con fines malintencionados podría provocar el apagado inesperado del sistema. Este problema se solucionó evitando la falta de referencia nula.

    ID CVE

    CVE-2014-4434: Maksymilian Arciemowicz

  • Kernel

    Impacto: Un usuario local podría provocar la finalización inesperada del sistema o la ejecución de código arbitrario en el kernel

    Descripción: Existía un problema de vulnerabilidad "double free" en la gestión de puertos Mach. Este problema se solucionó mediante la mejora de la validación de puertos Mach.

    ID CVE

    CVE-2014-4375: Un investigador anónimo

  • Kernel

    Impacto: Una persona con una posición de red privilegiada podría provocar una denegación de servicio

    Descripción: Existía un problema de condición de carrera en la gestión de paquetes IPv6. Este problema se solucionó mejorando la comprobación del estado de bloqueo.

    ID CVE

    CVE-2011-2391: Marc Heuse

  • Kernel

    Impacto: Un usuario local podría provocar la finalización inesperada del sistema o la ejecución de código arbitrario en el kernel

    Descripción: Existía un problema de lectura fuera de los límites en rt_setgate. Esto podría provocar divulgación de memoria o corrupción de memoria. Este problema se solucionó mejorando la comprobación de los límites.

    ID CVE

    CVE-2014-4408

  • Kernel

    Impacto: Un usuario local puede provocar la finalización inesperada del sistema

    Descripción: Existía un problema de fallo accesible al procesar mensajes enviados a los sockets de control del sistema. Este problema se solucionó mediante la validación adicional de mensajes.

    ID CVE

    CVE-2014-4442: Darius Davis de VMware

  • Kernel

    Impacto: Algunas medidas de refuerzo del kernel pueden eludirse

    Descripción: El generador de números aleatorios empleado en las medidas de refuerzo del kernel al principio del proceso de arranque no era criptográficamente seguro. Algunas de sus salidas podían inferirse a partir del espacio de usuario, y permitir la elusión de medidas de refuerzo. Este problema se solucionó empleando un algoritmo criptográficamente seguro.

    ID CVE

    CVE-2014-4422: Tarjei Mandt de Azimuth Security

  • LaunchServices

    Impacto: Una aplicación local podría eludir las restricciones de la zona protegida

    Descripción: La interfaz LaunchServices para configurar controladores de tipos de contenido permitía a las aplicaciones en la zona protegida especificar controladores para tipos de contenido existentes. Una aplicación en riesgo podía aprovecharse de esto para eludir las restricciones de la zona protegida. Este problema se solucionó impidiendo que las aplicaciones en la zona protegida especifiquen controladores de tipos de contenido.

    ID CVE

    CVE-2014-4437: Meder Kydyraliev del Google Security Team

  • LoginWindow

    Impacto: En ocasiones, la pantalla podría no bloquearse

    Descripción: Existía una condición de carrera en LoginWindow que en ocasiones impedía que la pantalla se bloquease. Este problema se solucionó cambiando el orden de las operaciones.

    ID CVE

    CVE-2014-4438: Harry Sintonen de nSense, Alessandro Lobina de Helvetia Insurances, Patryk Szlagowski de Funky Monkey Labs

  • Mail

    Impacto: Mail podría enviar correo electrónico a destinatarios no deseados

    Descripción: Una incongruencia de la interfaz de usuario en la aplicación Mail provocaba que se enviara un correo electrónico a direcciones que habían sido eliminadas de la lista de destinatarios. Este problema se solucionó mediante la mejora de las comprobaciones de congruencia de la interfaz de usuario.

    ID CVE

    CVE-2014-4439: Patrick J Power de Melbourne, Australia

  • Perfiles de configuración MCX Desktop

    Impacto: Cuando se desinstalaban perfiles de configuración móviles, sus valores de configuración no se eliminaban

    Descripción: Los valores de configuración de proxy de web instalados por un perfil de configuración móvil no se eliminaban cuando se desinstalaba el perfil. Este problema se solucionó mediante la mejora del procesamiento de la desinstalación de perfiles.

    ID CVE

    CVE-2014-4440: Kevin Koster de Cloudpath Networks

  • Entorno de cliente NetFS

    Impacto: Compartir Archivos podría entrar en un estado en el cual no podría deshabilitarse

    Descripción: Existía un problema de administración de estado en el entorno de Compartir Archivos. Este problema se ha solucionado mejorando la administración de estados.

    ID CVE

    CVE-2014-4441: Eduardo Bonsi de BEARTCOMMUNICATIONS

  • QuickTime

    Impacto: Reproducir un archivo m4a creado con fines malintencionados podría provocar la finalización inesperada de la aplicación o la ejecución de código arbitrario

    Descripción: Existía un desbordamiento del búfer al procesar muestras de audio. Este problema se solucionó mejorando la comprobación de los límites.

    ID CVE

    CVE-2014-4351: Karl Smith de NCC Group

  • Safari

    Impacto: El historial de páginas visitadas recientemente de una pestaña abierta podría seguir disponible tras haberse borrado.

    Descripción: Borrar el historial de Safari no borraba el historial de avance/retroceso de pestañas abiertas. Este problema se solucionó mediante la eliminación del historial de avance/retroceso.

    ID CVE

    CVE-2013-5150

  • Safari

    Impacto: Aceptar la recepción de notificaciones automáticas de un sitio web creado con fines malintencionados podría provocar la falta de recepción de futuras notificaciones automáticas de Safari

    Descripción: Existía un problema de excepción no capturada en el procesamiento de notificaciones automáticas de Safari por parte de SafariNotificationAgent. Este problema se solucionó mediante la mejora del procesamiento de las notificaciones automáticas de Safari.

    ID CVE

    CVE-2014-4417: Marek Isalski de Faelix Limited

  • Secure Transport

    Impacto: Un atacante podría ser capaz de descifrar datos protegidos mediante SSL

    Descripción: Existen ataques conocidos contra la confidencialidad de SSL 3.0 cuando una suite de cifrado utiliza un cifrado por bloques en modo CBC. Un atacante podía forzar el uso de SSL 3.0 incluso si el servidor era compatible con una versión mejor de TLS, mediante el bloqueo de los intentos de conexión TLS 1.0 y superior. Este problema se solucionó mediante la deshabilitación de las suites de cifrado CBC cuando los intentos de conexión TLS fallan.

    ID CVE

    CVE-2014-3566 : Bodo Moeller, Thai Duong y Krzysztof Kotowicz del Google Security Team

  • Seguridad

    Impacto: Un atacante remoto podría ser capaz de provocar una denegación de servicio

    Descripción: Existía un problema de falta de referencia nula en el procesamiento de datos ASN.1. Este problema se solucionó mediante la validación adicional de los datos ASN.1.

    ID CVE

    CVE-2014-4443: Coverity

  • Seguridad

    Impacto: Un usuario local podría tener acceso a los tickets de Kerberos de otro usuario

    Descripción: Existía un problema de administración de estado en SecurityAgent. En ocasiones, al usar el cambio rápido de usuario, un ticket de Kerberos del usuario al que se cambiaba se colocaba en la caché del usuario anterior. Este problema se ha solucionado mejorando la administración de estados.

    ID CVE

    CVE-2014-4444: Gary Simon de Sandia National Laboratories, Ragnar Sundblad del KTH Royal Institute of Technology, Eugene Homyakov de Kaspersky Lab

  • Seguridad - Firma de código

    Impacto: Podría no impedirse la ejecución de aplicaciones manipuladas

    Descripción: Las apps firmadas en OS X con anterioridad a OS X Mavericks 10.9 o las apps que utilizan reglas de recursos personalizadas podrían haber sido susceptibles de manipulaciones que no habrían invalidado la firma. En los sistemas configurados para aceptar únicamente apps de la tienda Mac App Store y desarrolladores identificados, podría haberse permitido la ejecución de una app descargada modificada como si fuera legítima. Este problema se solucionó mediante la omisión de las firmas de paquetes con envoltorios de recursos que omitan recursos que puedan influir en la ejecución. OS X Mavericks v10.9.5 y la Actualización de seguridad 2014-004 para OS X Mountain Lion v10.8.5 ya incluyen estos cambios.

    ID CVE

    CVE-2014-4391: Christopher Hickstein en colaboración con Zero Day Initiative de HP

Nota: OS X Yosemite viene con Safari 8.0, que incluye el contenido de seguridad de Safari 7.1. Para obtener información más detallada, consulta Acerca del contenido de seguridad de Safari 7.1.

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados o probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o productos de otros fabricantes. Apple no ofrece ninguna representación con relación a la precisión o fiabilidad de los sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Comunícate con el proveedor para obtener información adicional. Otros nombres de compañías y productos mencionados pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: