Acerca del contenido de seguridad de iOS 15.7.1 y iPadOS 15.7.1

En este documento, se describe el contenido de seguridad de iOS 15.7.1 y iPadOS 15.7.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

iOS 15.7.1 y iPadOS 15.7.1

Publicado el 27 de octubre de 2022

Apple Neural Engine

Disponible para iPhone 6s y versiones posteriores, iPad Pro (todos los modelos), iPad Air 2 y versiones posteriores, iPad (quinta generación y versiones posteriores), iPad mini 4 y versiones posteriores, y iPod touch (séptima generación)

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-32932: Mohamed Ghannam (@_simo36)

Audio

Impacto: Es posible que el análisis de un archivo de audio creado con fines malintencionados derive en la divulgación de información del usuario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-42798: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro

Backup

Impacto: Una app podía acceder a los respaldos de iOS.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2022-32929: Csaba Fitzl (@theevilbit) de Offensive Security

FaceTime

Impacto: Es posible que un usuario pueda ver contenido restringido desde la pantalla de bloqueo

Descripción: Se mejoró la administración de estados para solucionar un problema de bloqueo de pantalla.

CVE-2022-32935: Bistrit Dahal

Graphics Driver

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2022-32939: Willy R. Vasquez de la Universidad de Texas, en Austin

Image Processing

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-32949: Tingting Yin de la Universidad de Tsinghua

Kernel

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.

CVE-2022-32944: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2022-42803: Xinru Chi de Pangu Lab, John Aakerblom (@jaakerblom)

Kernel

Impacto: Una app con privilegios de usuario raíz podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2022-32926: Tim Michaud (@TimGMichaud) de Moveworks.ai

Kernel

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel. Apple está al tanto de que este problema podría haberse explotado de forma activa.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.

CVE-2022-42827: Un investigador anónimo

Kernel

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2022-42801: Ian Beer de Google Project Zero

Model I/O

Impacto: El procesamiento de un archivo USD creado con fines malintencionados podía revelar el contenido de la memoria.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-42810: Xingwei Lin (@xwlin_roy) y Yinyi Wu de Ant Security Light-Year Lab

ppp

Impacto: Un desbordamiento de búferes podía ocasionar la ejecución de código arbitrario

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2022-32941: Un investigador anónimo

Safari

Impacto: La visita a un sitio web creado con fines malintencionados podía filtrar información confidencial.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2022-42817: Mir Masood Ali, estudiante de doctorado, Universidad de Illinois en Chicago; Binoy Chitale, estudiante de maestría, Universidad de Stony Brook; Mohammad Ghasemisharif, candidato de doctorado, Universidad de Illinois en Chicago; Chris Kanich, profesor adjunto, Universidad de Illinois en Chicago

WebKit

Impacto: El procesamiento de contenido web creado con fines malintencionados podía revelar estados internos de la app.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de corrección en el JIT.

WebKit Bugzilla: 242964

CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) de KAIST Hacking Lab

Wi-Fi

Impacto: Conectarse a una red Wi-Fi creada con fines malintencionados podía ocasionar una denegación de servicio de la app Configuración.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2022-32927: Dr Hideaki Goto de la Universidad de Tohoku, Japón

zlib

Impacto: Un usuario podía provocar el cierre inesperado de una app o la ejecución de código arbitrario.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2022-37434: Evgeny Legerov

CVE-2022-42800: Evgeny Legerov

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: 12 de junio de 2024