Acerca del contenido de seguridad de la actualización de seguridad 2022-003 de Catalina

En este documento, se describe el contenido de seguridad de la actualización de seguridad 2022-003 de Catalina.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

Actualización de seguridad 2022-003 de Catalina

Publicado el 14 de marzo de 2022

AppKit

Disponible para macOS Catalina

Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz

Descripción: Se mejoró la validación para solucionar un problema de lógica.

CVE-2022-22665: Lockheed Martin Red Team

Entrada agregada el 25 de mayo de 2022

AppleGraphicsControl

Disponible para macOS Catalina

Impacto: Es posible que una app pueda obtener privilegios elevados

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22631: Wang Yu de Cyberserval

Entrada actualizada el 25 de mayo de 2022

AppleScript

Disponible para macOS Catalina

Impacto: Es posible que una app pueda leer la memoria restringida

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22648: Mickey Jin (@patch1t) de Trend Micro

Entrada actualizada el 25 de mayo de 2022

AppleScript

Disponible para macOS Catalina

Impacto: El procesamiento de un archivo binario de AppleScript creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la divulgación de la memoria de un proceso.

Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.

CVE-2022-22627: Qi Sun y Robert Ai de Trend Micro

CVE-2022-22626: Mickey Jin (@patch1t) de Trend Micro

AppleScript

Disponible para macOS Catalina

Impacto: El procesamiento de un archivo binario de AppleScript creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la divulgación de la memoria de un proceso.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2022-22625: Mickey Jin (@patch1t) de Trend Micro

AppleScript

Disponible para macOS Catalina

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar la ejecución de código arbitrario

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.

CVE-2022-22597: Qi Sun y Robert Ai de Trend Micro

BOM

Disponible para macOS Catalina

Impacto: Es posible que un archivo ZIP creado con fines malintencionados pueda omitir las comprobaciones de Gatekeeper

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22616: Ferdous Saljooki (@malwarezoo) y Jaron Bradley (@jbradley89) de Jamf Software, Mickey Jin (@patch1t)

CUPS

Disponible para macOS Catalina

Impacto: Es posible que una app pueda obtener privilegios elevados

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-26691: Joshua Mason de Mandiant

Entrada agregada el 25 de mayo de 2022

Intel Graphics Driver

Disponible para macOS Catalina

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.

CVE-2022-46706: Wang Yu de cyberserval y Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab

Entrada agregada el 8 de junio de 2023

Intel Graphics Driver

Disponible para macOS Catalina

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.

CVE-2022-22661: Wang Yu de cyberserval y Pan ZhenPeng (@Peterpan0927) de Alibaba Security Pandora Lab

Entrada actualizada el 25 de mayo de 2022 y actualizada el 8 de junio de 2023

Kernel

Disponible para macOS Catalina

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-22613: Un investigador anónimo, Alex

Kernel

Disponible para macOS Catalina

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.

CVE-2022-22615: Un investigador anónimo

CVE-2022-22614: Un investigador anónimo

Kernel

Disponible para macOS Catalina

Impacto: Es posible que un atacante con una posición de red privilegiada pueda ejecutar un ataque de denegación de servicio

Descripción: Se solucionó un problema de falta de referencia de puntero nulo mejorando la validación.

CVE-2022-22638: derrek (@derrekr6)

Login Window

Disponible para macOS Catalina

Impacto: Es posible que una persona con acceso a una Mac pueda omitir la ventana de inicio de sesión

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22647: Yuto Ikeda de la Universidad de Kyushu

Entrada actualizada el 25 de mayo de 2022

LoginWindow

Disponible para macOS Catalina

Impacto: Es posible que un atacante local pueda ver el escritorio del usuario que inició sesión anteriormente desde la pantalla de cambio rápido de usuario

Descripción: Se solucionó un problema de autenticación mejorando la administración de estados.

CVE-2022-22656

MobileAccessoryUpdater

Disponible para macOS Catalina

Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel

Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.

CVE-2022-22672: Siddharth Aeri (@b1n4r1b01)

Entrada agregada el 25 de mayo de 2022

PackageKit

Disponible para macOS Catalina

Impacto: Es posible que una app malintencionada con privilegios de usuario raíz pueda modificar el contenido de los archivos del sistema

Descripción: Se mejoró la validación para solucionar un problema en el manejo de enlaces simbólicos.

CVE-2022-26688: Mickey Jin (@patch1t) de Trend Micro

Entrada agregada el 25 de mayo de 2022

PackageKit

Disponible para macOS Catalina

Impacto: Es posible que una app pueda obtener privilegios elevados

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-22617: Mickey Jin (@patch1t)

QuickTime Player

Disponible para macOS Catalina

Impacto: Un complemento podía heredar los permisos de la app y acceder a los datos del usuario.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-22650: Wojciech Reguła (@_r3ggi) de SecuRing

WebKit

Disponible para macOS Catalina

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario

Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.

CVE-2022-22662: Prakash (@1lastBr3ath) de ThreatNix

Entrada agregada el 25 de mayo de 2022

WebKit

Disponible para macOS Catalina

Impacto: El procesamiento de un mensaje de correo electrónico creado con fines malintencionados podía ocasionar la ejecución de código javascript arbitrario

Descripción: Se mejoró el saneamiento de entradas para solucionar un problema de validación.

CVE-2022-22589: Heige de KnownSec 404 Team (knownsec.com) y Bo Qu de Palo Alto Networks (paloaltonetworks.com)

Entrada agregada el 25 de mayo de 2022

WebKit

Disponible para macOS Catalina

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario

Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.

WebKit Bugzilla: 232748

CVE-2022-22662: Prakash (@1lastBr3ath) de ThreatNix

xar

Disponible para macOS Catalina

Impacto: Es posible que un usuario local pueda escribir archivos arbitrarios

Descripción: Existía un problema de validación en el manejo de enlaces simbólicos. Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2022-22582: Richard Warren de NCC Group

Otros agradecimientos

Intel Graphics Driver

Nos gustaría darles las gracias a Jack Dates de RET2 Systems, Inc. y Yinyi Wu (@3ndy1) por su ayuda.

syslog

Nos gustaría darle las gracias a Yonghwi Jin (@jinmo123) de Theori por su ayuda.

TCC

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Offensive Security por su ayuda.

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: