Acerca del contenido de seguridad de macOS Sequoia 15

En este documento se describe el contenido de seguridad de macOS Sequoia 15.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

macOS Sequoia 15

Publicado el 16 de septiembre de 2024

Accounts

Disponible para: Mac Studio (2022 y modelos posteriores), iMac (2019 y modelos posteriores), Mac Pro (2019 y modelos posteriores), Mac mini (2018 y modelos posteriores), MacBook Air (2020 y modelos posteriores), MacBook Pro (2018 y modelos posteriores) y iMac Pro (2017 y modelos posteriores)

Impacto: Es posible que una app pueda divulgar información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44129

Accounts

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se mejoró la lógica de permisos para solucionar el problema.

CVE-2024-44153: Mickey Jin (@patch1t)

Accounts

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44188: Bohdan Stasiuk (@Bohdan_Stasiuk)

Airport

Impacto: Una app creada con fines malintencionados podía cambiar la configuración de la red

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40792: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada agregada el 28 de octubre de 2024

APFS

Impacto: Es posible que una app malintencionada con privilegios de usuario raíz pueda modificar el contenido de los archivos del sistema

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)

APNS

Impacto: Es posible que una app con privilegios de usuario raíz pueda acceder a información privada

Descripción: Para solucionar este problema, se mejoró la protección de datos.

CVE-2024-44130

App Intents

Impacto: Una app podía acceder a datos confidenciales registrados cuando no se podía iniciar otra app con un atajo

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44182: Kirin (@Pwnrin)

AppleGraphicsControl

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.

CVE-2024-44154: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleGraphicsControl

Impacto: Es posible que el procesamiento de un archivo de video creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-40845: Pwn2car en colaboración con el programa Zero Day Initiative de Trend Micro

CVE-2024-40846: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleMobileFileIntegrity

Impacto: Es posible que una app pueda omitir las preferencias de privacidad

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2024-44164: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40837: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Impacto: Una app podía acceder a datos confidenciales del usuario

Descripción: Se solucionó el problema mediante restricciones adicionales de firma de código.

CVE-2024-40847: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Es posible que un atacante pueda leer información confidencial

Descripción: Se solucionó un problema de reducción de la versión mediante restricciones adicionales de firma de código.

CVE-2024-40848: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de inyección de biblioteca con restricciones adicionales.

CVE-2024-44168: Claudio Bozzato y Francesco Benvenuto de Cisco Talos

AppleVA

Impacto: Una app podía leer la memoria restringida

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-27860: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

CVE-2024-27861: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleVA

Impacto: Es posible que el procesamiento de un archivo de video creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.

CVE-2024-40841: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppSandbox

Impacto: Una extensión de la cámara puede acceder a internet

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-27795: Halle Winkler y Politepix @hallewinkler

AppSandbox

Impacto: Es posible que una app pueda acceder a archivos protegidos dentro de un contenedor de zona protegida para apps

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44135: Mickey Jin (@patch1t)

ArchiveService

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró el manejo de enlaces simbólicos.

CVE-2024-44132: Mickey Jin (@patch1t)

ARKit

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda generar daños en la memoria del montón

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44126: Holger Fuhrmannek

Entrada agregada el 28 de octubre de 2024

Automator

Impacto: Un proceso de acción rápida de Automator podía omitir Gatekeeper

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2024-44128: Anton Boegler

bless

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44151: Mickey Jin (@patch1t)

Compression

Impacto: Abrir un archivo creado con fines malintencionados podía permitir que un atacante escribiera archivos arbitrarios

Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Contacts

Impacto: Es posible que una app pueda acceder a los contactos

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-44172: Kirin (@Pwnrin)

Entrada actualizada el lunes, 27 de enero de 2025

Control Center

Impacto: una app puede grabar la pantalla sin indicador.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-27869: Un investigador anónimo

Control Center

Impacto: Los indicadores de privacidad para el acceso al micrófono o a la cámara pueden estar atribuidos incorrectamente

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2024-27875: Yiğit Can YILMAZ (@yilmazcanyigit)

copyfile

Impacto: Una app podía salir de su zona protegida

Descripción: Se mejoró la administración de archivos para solucionar un problema de lógica.

CVE-2024-44146: Un investigador anónimo

Core Data

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-27849: Kirin (@Pwnrin) y Rodolphe Brunetti (@eisw0lf)

Entrada agregada el 28 de octubre de 2024

CUPS

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2023-4504

DiskArbitration

Impacto: Es posible que una app aislada pueda acceder a datos confidenciales del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40855: Csaba Fitzl (@theevilbit) de Kandji

Entrada agregada el 28 de octubre de 2024

Disk Images

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró la validación de los atributos de archivo.

CVE-2024-44148: Un investigador anónimo

Dock

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de privacidad eliminando datos confidenciales.

CVE-2024-44177: Un investigador anónimo

FileProvider

Impacto: Es posible que un usuario local pueda filtrar información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54469: Csaba Fitzl (@theevilbit) de Kandji

Entrada agregada el lunes, 3 de marzo de 2025

FileProvider

Impacto: Una app podía acceder a datos confidenciales del usuario

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44131: @08Tc3wBB de Jamf

Game Center

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se mejoró la validación de entradas para solucionar un problema de acceso a archivos.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

Image Capture

Impacto: Es posible que una app pueda acceder a volúmenes extraíbles sin el consentimiento del usuario

Descripción: Se mejoraron los derechos para solucionar este problema.

CVE-2024-54463: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada agregada el lunes, 3 de marzo de 2025

Image Capture

Impacto: Es posible que una app pueda acceder a la Fototeca de un usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40831: Mickey Jin (@patch1t)

ImageIO

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-27880: Junsung Lee

ImageIO

Impacto: Es posible que el procesamiento de una imagen pueda provocar una denegación de servicio

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2024-44176: dw0r de ZeroPointer Lab en colaboración con el programa Zero Day Initiative de Trend Micro, un investigador anónimo

Installer

Impacto: Una app podía obtener privilegios de usuario raíz

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40861: Mickey Jin (@patch1t)

Intel Graphics Driver

Impacto: Es posible que el procesamiento de una textura creada con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2024-44160: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

Intel Graphics Driver

Impacto: Es posible que el procesamiento de una textura creada con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2024-44161: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

IOSurfaceAccelerator

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-44169: Antonio Zekić

Kernel

Impacto: El tráfico de red podía irse por un túnel de la VPN

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-44165: Andrew Lytvynov

Kernel

Impacto: Una app podía acceder a datos confidenciales del usuario

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44175: Csaba Fitzl (@theevilbit) de Kandji

Entrada agregada el 28 de octubre de 2024

Kernel

Impacto: Es posible que una app obtenga acceso no autorizado a Bluetooth

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) y Mathy Vanhoef

LaunchServices

Impacto: Una app creada con fines malintencionados podría tener la capacidad de modificar otras apps sin tener permiso de Gestión de apps

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-54560: Kirin (@Pwnrin), Jeff Johnson (underpassapp.com)

Entrada agregada el lunes, 3 de marzo de 2025

LaunchServices

Impacto: Es posible que una aplicación pueda salir de su zona protegida

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-44122: Un investigador anónimo

Entrada agregada el 28 de octubre de 2024

libxml2

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso

Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.

CVE-2024-44198: OSS-Fuzz, Ned Williamson de Google Project Zero

Mail Accounts

Impacto: Es posible que una app acceda a información sobre los contactos de un usuario

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-40791: Rodolphe BRUNETTI (@eisw0lf)

Maps

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-54473: Kirin (@Pwnrin)

Entrada agregada el lunes, 3 de marzo de 2025

Maps

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Se solucionó un problema con la mejora del manejo de archivos temporales.

CVE-2024-44181: Kirin(@Pwnrin) y LFY(@secsys) de Fudan University

mDNSResponder

Impacto: Es posible que una app pueda provocar una denegación de servicio

Descripción: Se mejoró la administración de errores para solucionar un problema de lógica.

CVE-2024-44183: Olivier Levon

Model I/O

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar una denegación de servicio

CVE-2023-5841

Music

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-27858: Meng Zhang (鲸落) de NorthSea, Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Notes

Impacto: Es posible que una app pueda sobrescribir archivos arbitrarios

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-44167: ajajfxhj

Notification Center

Impacto: Es posible que una app creada con fines malintencionados pueda acceder a las notificaciones del dispositivo del usuario

Descripción: Se movieron los datos confidenciales a una ubicación protegida para solucionar un problema de privacidad.

CVE-2024-40838: Brian McNulty, Cristian Dinca de “Tudor Vianu” National High School of Computer Science, Rumanía, Vaibhav Prajapati

NSColor

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Para solucionar un problema de acceso, se agregaron restricciones de la zona protegida.

CVE-2024-44186: Un investigador anónimo

OpenSSH

Impacto: Varios problemas en OpenSSH

CVE-2024-39894

PackageKit

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44178: Mickey Jin (@patch1t)

Printing

Impacto: Es posible que pueda escribirse un documento no encriptado en un archivo temporal al utilizar la vista previa de impresión

Descripción: Se solucionó un problema de privacidad con la mejora del manejo de archivos.

CVE-2024-40826: Un investigador anónimo

Quick Look

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44149: Wojciech Regula de SecuRing (wojciechregula.blog), Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Safari

Impacto: Es posible que la visita a un sitio web creado con fines malintencionados pueda provocar la suplantación de la interfaz de usuario

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-40797: Rifa'i Rejal Maynando

Safari

Impacto: El contenido web creado con fines malintencionados podía infringir la política de la zona protegida de iFrame

Descripción: Se solucionó un problema en la manipulación del esquema de URL personalizado mejorando la validación de entradas.

CVE-2024-44155: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Entrada agregada el 28 de octubre de 2024

Sandbox

Impacto: Es posible que una app creada con fines malintencionados divulgue información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44125: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: Es posible que una app creada con fines maliciosos pueda acceder a información privada

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44163: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: Es posible que una app pueda acceder a la Fototeca de un usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44203: Yiğit Can YILMAZ (@yilmazcanyigit), Wojciech Regula de SecuRing (wojciechregula.blog), Kirin (@Pwnrin) de NorthSea

Entrada agregada el 28 de octubre de 2024

SceneKit

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de tamaños para solucionar un problema de desbordamiento de búferes.

CVE-2024-44144: 냥냥

Entrada agregada el 28 de octubre de 2024

Screen Capture

Impacto: Es posible que un atacante con acceso físico pueda compartir elementos desde la pantalla de bloqueo

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44137: Halle Winkler y Politepix @hallewinkler

Entrada agregada el 28 de octubre de 2024

Screen Capture

Impacto: Es posible que un atacante pueda ver contenido restringido desde la pantalla de bloqueo

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44174: Vivek Dhar, quien trabaja como subinspector adjunto (RM) en la Fuerza de Seguridad Fronteriza (Cuartel General Fronterizo de BSF Cachemira)

Entrada agregada el lunes, 28 de octubre de 2024 y actualizada el lunes, 3 de marzo de 2025

Security

Impacto: Una app creada con fines malintencionados con privilegios de usuario raíz podía acceder a información de ubicación y entrada de datos del teclado sin el consentimiento del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44123: Wojciech Regula de SecuRing (wojciechregula.blog)

Entrada agregada el 28 de octubre de 2024

Security Initialization

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40801: Zhongquan Li (@Guluisacat), Pedro José Pereira Vieito (@pvieito), un investigador anónimo

Shortcuts

Impacto: Es posible que una app pueda acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40837: Kirin (@Pwnrin)

Shortcuts

Impacto: Un atajo podía emitir datos confidenciales del usuario sin su consentimiento

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44158: Kirin (@Pwnrin)

Shortcuts

Impacto: Una app podía observar los datos que Atajos muestra al usuario

Descripción: Se solucionó un problema de privacidad con la mejora del manejo de archivos temporales.

CVE-2024-40844: Kirin (@Pwnrin) y luckyu (@uuulucky) de NorthSea

Sidecar

Impacto: Un atacante con acceso físico a un dispositivo macOS con Sidecar activado podía omitir la pantalla de bloqueo

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44145: Om Kothawade, Omar A. Alanis de UNTHSC College of Pharmacy

Entrada agregada el 28 de octubre de 2024

Siri

Impacto: Es posible que un atacante con acceso físico a un dispositivo pueda leer los números de los contactos desde la pantalla de bloqueo

Descripción: Para solucionar este problema, se restringieron las opciones que se ofrecían en un dispositivo bloqueado.

CVE-2024-44179: Bistrit Dahal, Matej Moravec (@MacejkoMoravec)

Entrada agregada el lunes, 3 de marzo de 2025

Siri

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se movieron los datos confidenciales a una ubicación más segura para solucionar un problema de privacidad.

CVE-2024-44170: K宝, LFY (@secsys), Smi1e, yulige, Cristian Dinca (icmd.tech), Rodolphe BRUNETTI (@eisw0lf)

sudo

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40860: Arsenii Kostromin (0x3c3e)

System Settings

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-44152: Kirin (@Pwnrin)

CVE-2024-44166: Kirin(@Pwnrin) y LFY(@secsys) de Fudan University

System Settings

Impacto: Una app podía leer archivos arbitrarios

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2024-44190: Rodolphe BRUNETTI (@eisw0lf)

TCC

Impacto: Una app podría engañar a un usuario para que le de acceso a fotos de su fototeca

Descripción: Para solucionar un problema de clickjacking, se mejoró el manejo de las vistas fuera del proceso.

CVE-2024-54558: Ron Masas de BreakPoint.sh y un investigador anónimo

Entrada agregada el lunes, 3 de marzo de 2025

TCC

Impacto: En los dispositivos gestionados por MDM, una app puede saltarse ciertas preferencias de privacidad

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-44133: Jonathan Bar Or (@yo_yo_yo_jbo) de Microsoft

Transparency

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44184: Bohdan Stasiuk (@Bohdan_Stasiuk)

TV App

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40859: Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Vim

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

CVE-2024-41957

WebKit

Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.

Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.

WebKit Bugzilla: 287874

CVE-2024-54467: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Entrada agregada el lunes, 3 de marzo de 2025

WebKit

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso

Descripción: Para solucionar este problema, se mejoró la comprobación.

WebKit Bugzilla: 268770

CVE-2024-44192: Tashita Software Security

Entrada agregada el lunes, 3 de marzo de 2025

WebKit

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal

Descripción: Para solucionar este problema, se mejoró la administración del estado.

WebKit Bugzilla: 268724

CVE-2024-40857: Ron Masas

WebKit

Impacto: visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones

Descripción: Para solucionar este problema, se mejoró la interfaz de usuario.

WebKit Bugzilla: 279451

CVE-2024-40866: Hafiizh y YoKo Kho (@yokoacc) de HakTrak

WebKit

Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.

Descripción: Existía un problema de origen cruzado con los elementos de iFrame. Este problema se solucionó mejorando el seguimiento de los orígenes de seguridad.

WebKit Bugzilla: 279452

CVE-2024-44187: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Wi-Fi

Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o dañar la memoria del kernel

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-44227: Tim Michaud (@TimGMichaud) de Moveworks.ai

CVE-2024-54546: Antonio Zekic (@antoniozekic) y ant4g0nist

Entrada agregada el lunes, 3 de marzo de 2025

Wi-Fi

Impacto: Un usuario sin privilegios podía modificar la configuración de red restringida

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40770: Yiğit Can YILMAZ (@yilmazcanyigit)

Wi-Fi

Impacto: Es posible que una app pueda provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-23237: Charly Suchanek

Wi-Fi

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44134

Wi-Fi

Impacto: Es posible que un atacante pueda forzar un dispositivo a desconectarse de una red segura

Descripción: Se solucionó un problema de integridad con Beacon Protection.

CVE-2024-40856: Preet Dsouza (Fleming College, Programa de Seguridad Informática e Investigaciones), Domien Schepers

Entrada actualizada el lunes, 3 de marzo de 2025

WindowServer

Impacto: Existía un problema de lógica por el que un proceso podía capturar el contenido de la pantalla sin el consentimiento del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44189: Tim Clem

WindowServer

Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44208: Un investigador anónimo

Entrada agregada el 28 de octubre de 2024

XProtect

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema, se mejoró la validación de las variables de entorno.

CVE-2024-40842: Gergely Kalman (@gergely_kalman)

XProtect

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40843: Koh M. Nakagawa (@tsunek0h)

Otros agradecimientos

Admin Framework

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Airport

Nos gustaría darle las gracias a David Dudok de Wit por su ayuda.

Entrada actualizada el 28 de octubre de 2024

APFS

Nos gustaría darle las gracias a Georgi Valkov de httpstorm.com por su ayuda.

App Store

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

Entrada actualizada el 28 de octubre de 2024

AppKit

Nos gustaría darle las gracias a @08Tc3wBB de Jamf por su ayuda.

Apple Neural Engine

Nos gustaría darles las gracias a Jiaxun Zhu (@svnswords) y Minghao Lin (@Y1nKoc) por su ayuda.

Automator

Nos gustaría darle las gracias a Koh M. Nakagawa (@tsunek0h) por su ayuda.

Core Bluetooth

Nos gustaría darle las gracias a Nicholas C. de Onymos Inc. (onymos.com) por su ayuda.

Core Services

Nos gustaría darles las gracias a Cristian Dinca de “Tudor Vianu” National High School of Computer Science (Rumanía), Kirin (@Pwnrin) y 7feilee, Snoolie Keffaber (@0xilis), Tal Lossos, Zhongquan Li (@Guluisacat) por su ayuda.

CUPS

Nos gustaría darle las gracias a moein abas por su ayuda.

Entrada agregada el 28 de octubre de 2024

Disk Utility

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

dyld

Nos gustaría darles las gracias a Pietro Francesco Tirenna, Davide Silvetti y Abdel Adim Oisfi de Shielder (shielder.com) por su ayuda.

Entrada agregada el 28 de octubre de 2024

FileProvider

Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.

Foundation

Nos gustaría darle las gracias a Ostorlab por su ayuda.

ImageIO

Nos gustaría darle las gracias a Junsung Lee por su ayuda.

Entrada agregada el lunes, 3 de marzo de 2025

Kernel

Nos gustaría darles las gracias a Braxton Anderson, y a Fakhri Zulkifli (@d0lph1n98) de PixiePoint Security por su ayuda.

libxpc

Nos gustaría darles las gracias a Rasmus Sten y F-Secure (Mastodon: @pajp@blog.dll.nu) por su ayuda.

LLVM

Nos gustaría darles las gracias a Victor Duta de Universiteit Amsterdam, Fabio Pagani de University of California, Santa Barbara, Cristiano Giuffrida de Universiteit Amsterdam, Marius Muench y Fabian Freyer por su ayuda.

Maps

Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.

Music

Nos gustaría darles las gracias a Khiem Tran de databaselog.com/khiemtran, K宝 y LFY@secsys de Fudan University, Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.

Notification Center

Nos gustaría darles las gracias a Kirin (@Pwnrin) y LFYSec por su ayuda.

Entrada agregada el 28 de octubre de 2024

Notifications

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

PackageKit

Nos gustaría darles las gracias a Csaba Fitzl (@theevilbit) de Kandji, Mickey Jin (@patch1t) y Zhongquan Li (@Guluisacat) por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Passwords

Nos gustaría darle las gracias a Richard Hyunho Im (@r1cheeta) por su ayuda.

Photos

Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal India, Harsh Tyagi, Kenneth Chew, Leandro Chaves, Saurabh Kumar de Technocrat Institute of Technology Bhopal, Shibin B Shaji, Vishnu Prasad P G, UST, Yusuf Kelany y Junior Vergara por su ayuda.

Entrada actualizada el lunes, 3 de marzo de 2025

Podcasts

Nos gustaría darle las gracias a Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.

Quick Look

Nos gustaría darle las gracias a Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com) por su ayuda.

Safari

Nos gustaría darles las gracias a Arthur Csatlós de Alef Union (alefunion.com), Hafiizh y YoKo Kho (@yokoacc) de HakTrak, Junsung Lee y Shaheen Fazim por su ayuda.

Entrada actualizada el lunes, 3 de marzo de 2025

Sandbox

Nos gustaría darle las gracias a Cristian Dinca de "Tudor Vianu" National High School of Computer Science, Romania por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Screen Capture

Nos gustaría darles las gracias a Joshua Jewett (@JoshJewett33), Yiğit Can YILMAZ (@yilmazcanyigit) y a un investigador anónimo por su ayuda.

SharePlay

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Entrada agregada el lunes, 3 de marzo de 2025

Shortcuts

Nos gustaría darles las gracias a Cristian Dinca de “Tudor Vianu” National High School of Computer Science (Rumanía), Jacob Braun y un investigador anónimo por su ayuda.

Siri

Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal, India, Rohan Paudel y un investigador anónimo por su ayuda.

Entrada actualizada el 28 de octubre de 2024

SystemMigration

Nos gustaría darles las gracias a Jamey Wicklund, Kevin Jansen y a un investigador anónimo por su ayuda.

System Settings

Nos gustaría darle las gracias a Koh M. Nakagawa (@tsunek0h) por su ayuda.

Entrada agregada el lunes, 3 de marzo de 2025

TCC

Nos gustaría darles las gracias a Noah Gregory (wts.dev) y Vaibhav Prajapati por su ayuda.

Terminal

Nos gustaría darle las gracias a Koh M. Nakagawa (@tsunek0h) por su ayuda.

Entrada agregada el lunes, 3 de marzo de 2025

UIKit

Nos gustaría darle las gracias a Andr.Ess por su ayuda.

Voice Memos

Nos gustaría darle las gracias a Lisa B por su ayuda.

WebKit

Nos gustaría darles las gracias a Avi Lumelsky de Oligo Security, Uri Katz de Oligo Security, Braylon (@softwarescool), Eli Grey (eligrey.com), Johan Carlsson (joaxcar), Numan Türle - Rıza Sabuncu por su ayuda.

Entrada actualizada el 28 de octubre de 2024

WindowServer

Nos gustaría darle las gracias a Felix Kratz por su ayuda.

Entrada actualizada el 28 de octubre de 2024

XprotectFramework

Nos gustaría darle las gracias a Koh M. Nakagawa (@tsunek0h) por su ayuda.

Entrada agregada el lunes, 3 de marzo de 2025