Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Ventura 13.1
Publicado el 13 de diciembre de 2022
Accounts
Disponible para macOS Ventura
Impacto: Es posible que un usuario pueda visualizar la información confidencial de otro usuario
Descripción: Para solucionar este problema, se mejoró la protección de datos.
CVE-2022-42843: Mickey Jin (@patch1t)
AMD
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2022-42858: ABC Research s.r.o.
Entrada agregada el 16 de marzo de 2023
AMD
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-42847: ABC Research s.r.o.
AppleMobileFileIntegrity
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir las preferencias de privacidad
Descripción: Para solucionar este problema, se activó la función Hardened Runtime.
CVE-2022-42865: Wojciech Reguła (@_r3ggi) de SecuRing
Bluetooth
Disponible para macOS Ventura
Impacto: Es posible que una app pueda divulgar la memoria del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42854: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. (@starlabs_sg)
Boot Camp
Disponible para macOS Ventura
Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2022-42853: Mickey Jin (@patch1t) de Trend Micro
CoreServices
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir las preferencias de privacidad
Descripción: Se solucionaron varios problemas eliminando el código vulnerable.
CVE-2022-42859: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) de Offensive Security
curl
Disponible para macOS Ventura
Impacto: Varios problemas en curl.
Descripción: Para solucionar varios problemas, se actualizó curl a la versión 7.85.0.
CVE-2022-35252
Entrada agregada el 31 de octubre de 2023
DriverKit
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-32942: Linus Henze de Pinauten GmbH (pinauten.de)
dyld
Disponible para macOS Ventura
Impacto: Es posible que una app pueda salir de su zona protegida
Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de enteros.
CVE-2022-46720: Yonghwi Jin (@jinmo123) de Theori
Entrada agregada el 16 de marzo de 2023
iCloud Photo Library
Disponible para macOS Ventura
Impacto: Es posible que los datos de Localización se puedan compartir a través de enlaces de iCloud, incluso si los metadatos de Localización estaban desactivados en Share Sheet
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2022-46710: John Balestrieri de Tinrocket
Entrada agregada el 31 de octubre de 2023
ImageIO
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-46693: Mickey Jin (@patch1t)
IOHIDFamily
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar un problema de condición de carrera, se mejoró el manejo de estados.
CVE-2022-42864: Tommy Muir (@Muirey03)
IOMobileFrameBuffer
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-46690: John Aakerblom (@jaakerblom)
IOMobileFrameBuffer
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.
CVE-2022-46697: John Aakerblom (@jaakerblom) y Antonio Zekic (@antoniozekic)
iTunes Store
Disponible para macOS Ventura
Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Existía un problema en el análisis de direcciones URL. Este problema se solucionó mejorando la validación de entradas.
CVE-2022-42837: Weijia Dai (@dwj1210) de Momo Security
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2022-46689: Ian Beer de Google Project Zero
Kernel
Disponible para macOS Ventura
Impacto: Es posible que conectarse a un servidor NFS malintencionado provoque la ejecución de código arbitrario con privilegios de kernel
Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.
CVE-2022-46701: Felix Poulin-Belanger
Kernel
Disponible para macOS Ventura
Impacto: Es posible que un usuario remoto pueda ocasionar la ejecución del código del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42842: patrón-f (@pattern_F_) de Ant Security Light-Year Lab
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda salir de su zona protegida
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-42861: pattern-f (@pattern_F_) de Ant Security Light-Year Lab
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app con privilegios de usuario raíz pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42845: Adam Doupé de ASU SEFCOM
Kernel
Disponible para macOS Ventura
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria pueda omitir la autenticación del puntero Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 15.7.1.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2022-48618: Apple
Entrada agregada el 9 de enero de 2024
Networking
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.
CVE-2022-42839: Adam M.
Entrada agregada el martes, 31 de octubre de 2023 y actualizada el lunes, 31 de mayo de 2024
Networking
Disponible para macOS Ventura
Impacto: La funcionalidad de Retransmisión privada no coincidía con la configuración del sistema.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-46716
Entrada agregada el 16 de marzo de 2023
PackageKit
Disponible para macOS Ventura
Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos
Descripción: Para solucionar un problema de lógica, se mejoró la administración de estados.
CVE-2022-46704: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) de Offensive Security
Entrada agregada el 22 de diciembre de 2022
Photos
Disponible para macOS Ventura
Impacto: Es posible que agitar para deshacer pueda permitir que una foto eliminada vuelva a aparecer sin autenticación
Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.
CVE-2022-32943: Jiwon Park, Mieszko Wawrzyniak y un investigador anónimo
Entrada actualizada el 31 de octubre de 2023
ppp
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42840: Un investigador anónimo
Preferences
Disponible para macOS Ventura
Impacto: Es posible que una app pueda usar derechos arbitrarios
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-42855: Ivan Fratric de Google Project Zero
Printing
Disponible para macOS Ventura
Impacto: Es posible que una app pueda omitir las preferencias de privacidad
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2022-42862: Mickey Jin (@patch1t)
Ruby
Disponible para macOS Ventura
Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-24836
CVE-2022-29181
Safari
Disponible para macOS Ventura
Impacto: Es posible que visitar un sitio web con contenido malicioso pueda provocar una suplantación en la interfaz del usuario
Descripción: Existía un problema de suplantación en el manejo de direcciones URL. Para solucionar este problema, se mejoró la validación de entradas.
CVE-2022-46695: KirtiKumar Anandrao Ramchandani
TCC
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2022-46718: Michael (Biscuit) Thomas
Entrada agregada el 1 de mayo de 2023
Weather
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2022-46703: Wojciech Reguła (@_r3ggi) de SecuRing y Adam M.
Entrada agregada el jueves, 16 de marzo de 2023 y actualizada el lunes, 31 de mayo de 2024
Weather
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2022-42866: Un investigador anónimo
WebKit
Disponible para macOS Ventura
Impacto: Es posible que visitar un sitio web con contenido malicioso pueda provocar una suplantación en la interfaz del usuario
Descripción: Este problema se solucionó mejorando el manejo de IU.
WebKit Bugzilla: 247461
CVE-2022-32919: @real_as3617
Entrada agregada el 31 de octubre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que visitar un sitio web creado con fines malintencionados pueda provocar la suplantación de la barra de direcciones
Descripción: Existía un problema de suplantación en el manejo de direcciones URL. Para solucionar este problema, se mejoró la validación de entradas.
WebKit Bugzilla: 247289
CVE-2022-46725: Hyeon Park (@tree_segment) de Team ApplePIE
WebKit Bugzilla: 247287
CVE-2022-46705: Hyeon Park (@tree_segment) de Team ApplePIE
Entrada agregada el 22 de diciembre de 2022 y actualizada el 31 de octubre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.
WebKit Bugzilla: 245521
CVE-2022-42867: Maddie Stone de Google Project Zero
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
WebKit Bugzilla: 245466
CVE-2022-46691: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang y JiKai Ren, y Hang Shu del Instituto de Tecnología Informática de la Academia de Ciencias de China
Entrada actualizada el 31 de octubre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados omita la política de mismo origen
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani (kirtikumarar.com)
Entrada actualizada el 31 de octubre de 2023
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados provoque la divulgación de la memoria de un proceso
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 246721
CVE-2022-42852: hazbinhotel en colaboración con el programa Zero Day Initiative de Trend Micro
Entrada actualizada el 22 de diciembre de 2022
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
WebKit Bugzilla: 246942
CVE-2022-46696: Samuel Groß, de Google V8 Security
WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß, de Google V8 Security
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
WebKit Bugzilla: 247066
CVE-2022-46698: Dohyun Lee (@l33d0hyun) de DNSLab de la Universidad de Corea, Ryan Shin de IAAI SecLab de la Universidad de Corea
Entrada actualizada el 22 de diciembre de 2022
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.
WebKit Bugzilla: 247420
CVE-2022-46699: Samuel Groß, de Google V8 Security
WebKit Bugzilla: 244622
CVE-2022-42863: Un investigador anónimo
WebKit
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 15.1.
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lepigne, de Google’s Threat Analysis Group
xar
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de un paquete creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoraron las comprobaciones para solucionar un problema de tipo confusión.
CVE-2022-42841: Thijs Alkemade (@xnyhps) de Computest Sector 7
Otros agradecimientos
Kernel
Nos gustaría darle las gracias a Zweig de Kunlun Lab por su ayuda.
Lock Screen
Nos gustaría darle las gracias a Kevin Mann por su ayuda.
Safari Extensions
Nos gustaría darles las gracias a Oliver Dunk y Christian R. de 1Password por su ayuda.
WebKit
Nos gustaría darles las gracias a un investigador anónimo y scarlet por su ayuda.