Acerca del contenido de seguridad de macOS Monterey 12.7.1

En este documento, se describe el contenido de seguridad de macOS Monterey 12.7.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.

A través de la seguridad de Apple, se documentan vulnerabilidades de referencia por ID CVE siempre que sea posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

macOS Monterey 12.7.1

Publicado el 25 de octubre de 2023

Automation

Disponible para macOS Monterey

Impacto: Una app con privilegios de usuario raíz podía acceder a información privada.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42952: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Entrada agregada el 16 de febrero de 2024

CoreAnimation

Disponible para macOS Monterey

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-40449: Tomi Tokics (@tomitokics) de iTomsn0w

Core Recents

Disponible para macOS Monterey

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: El problema se resolvió mediante una limpieza de registros.

CVE-2023-42823

Entrada agregada el 16 de febrero de 2024

FileProvider

Disponible para macOS Monterey

Impacto: Es posible que una app pueda causar una denegación del servicio a los clientes con seguridad de puntos de conexión.

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2023-42854: Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab)

Find My

Disponible para macOS Monterey

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.

CVE-2023-40413: Adam M.

Foundation

Disponible para macOS Monterey

Impacto: Es posible que un sitio web pueda acceder a datos confidenciales del usuario al resolver enlaces simbólicos.

Descripción: Para solucionar este problema, se mejoró el manejo de enlaces simbólicos.

CVE-2023-42844: Ron Masas de BreakPoint.SH

libc

Disponible para macOS Monterey

Impacto: Es posible que el procesamiento de una entrada creada con fines malintencionados pueda provocar la ejecución de código arbitrario en apps instaladas por el usuario.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-40446: inooo

Entrada agregada el 3 de noviembre de 2023

ImageIO

Disponible para macOS Monterey

Impacto: Es posible que el procesamiento de una imagen pueda provocar la divulgación de la memoria de un proceso

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-40416: JZ

IOTextEncryptionFamily

Disponible para macOS Monterey

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-40423: Un investigador anónimo

Kernel

Disponible para macOS Monterey

Impacto: Un atacante que lograba ejecutar el código del kernel podía omitir las mitigaciones de memoria del kernel.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42849: Linus Henze de Pinauten GmbH (pinauten.de)

Model I/O

Disponible para macOS Monterey

Impacto: Es posible que el procesamiento de un archivo pueda ocasionar el cierre inesperado de una app o la ejecución de código arbitrario

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2023-42856: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

PackageKit

Disponible para macOS Monterey

Impacto: Una app podía modificar partes protegidas del sistema de archivos.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42859: Arsenii Kostromin (0x3c3e), Mickey Jin (@patch1t) y Hevel Engineering

CVE-2023-42877: Arsenii Kostromin (0x3c3e)

Entrada agregada el 16 de febrero de 2024

PackageKit

Disponible para macOS Monterey

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42840: Mickey Jin (@patch1t) y Csaba Fitzl (@theevilbit) de Offensive Security

Entrada agregada el 16 de febrero de 2024

PackageKit

Disponible para macOS Monterey

Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42889: Mickey Jin (@patch1t)

Entrada agregada el 16 de febrero de 2024

PackageKit

Disponible para macOS Monterey

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema de lógica, se mejoraron las comprobaciones.

CVE-2023-42853: Mickey Jin (@patch1t)

Entrada agregada el 16 de febrero de 2024

PackageKit

Disponible para macOS Monterey

Impacto: Una app podía modificar partes protegidas del sistema de archivos.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2023-42860: Koh M. Nakagawa (@tsunek0h) de FFRI Security, Inc.

Entrada agregada el 16 de febrero de 2024

Pro Res

Disponible para macOS Monterey

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2023-42873: Mingxuan Yang (@PPPF00L), happybabywu y Guang Gong de 360 Vulnerability Research Institute

Entrada agregada el 16 de febrero de 2024

Sandbox

Disponible para macOS Monterey

Impacto: Una app con privilegios de usuario raíz podía acceder a información privada.

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2023-40425: Csaba Fitzl (@theevilbit) de Offensive Security

SQLite

Disponible para macOS Monterey

Impacto: Un usuario remoto podía causar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2023-36191

Entrada agregada el 16 de febrero de 2024

talagent

Disponible para macOS Monterey

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2023-40421: Noah Roskin-Frazee y Prof. J. (ZeroClicks.ai Lab)

WindowServer

Disponible para macOS Monterey

Impacto: Un sitio web podía acceder al micrófono sin que se muestre el indicador de uso del micrófono.

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2023-41975: Un investigador anónimo

WindowServer

Disponible para macOS Monterey

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2023-42858: Un investigador anónimo

Entrada agregada el 16 de febrero de 2024

Otros agradecimientos

GPU Drivers

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

libarchive

Nos gustaría darle las gracias a Bahaa Naamneh por su ayuda.

libxml2

Nos gustaría darle las gracias a OSS-Fuzz, Ned Williamson de Google Project Zero por su ayuda.

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: