Acerca del contenido de seguridad de macOS Catalina 10.15

En este documento, se describe el contenido de seguridad de macOS Catalina 10.15.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.

macOS Catalina 10.15

Publicado el 7 de octubre de 2019

AMD

Disponible para MacBook (principios de 2015 y posteriores), MacBook Air (mediados de 2012 y posteriores), MacBook Pro (mediados de 2012 y posteriores), Mac mini (finales de 2012 y posteriores), iMac (finales de 2012 y posteriores), iMac Pro (todos los modelos), Mac Pro (finales de 2013 y posteriores)

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2019-8748: Lilang Wu y Moony Li de TrendMicro Mobile Security Research Team

apache_mod_php

Impacto: Diversos problemas en PHP.

Descripción: Se solucionaron varios problemas actualizando PHP a la versión 7.3.8.

CVE-2019-11041

CVE-2019-11042

CoreAudio

Impacto: El procesamiento de una película creada con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.

Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.

CVE-2019-8705: riusksk de VulWar Corp en colaboración con la iniciativa Zero Day de Trend Micro

Informe de fallos

Impacto: El ajuste de configuración Compartir análisis de la Mac podía no desactivarse cuando un usuario anulaba la selección del interruptor para compartir análisis.

Descripción: Existía un problema de condición de carrera durante la escritura y la lectura de las preferencias de usuario. Este problema se solucionó mejorando el manejo de estados.

CVE-2019-8757: William Cerniuk de Core Development, LLC

Controlador de gráficos Intel

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2019-8758: Lilang Wu y Moony Li de Trend Micro

IOGraphics

Impacto: Una app creada con fines malintencionados podía determinar la distribución de la memoria del kernel.

Descripción: Se solucionó un problema de lógica mejorando las restricciones.

CVE-2019-8755: Lilang Wu y Moony Li de Trend Micro

Kernel

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2019-8717: Jann Horn de Google Project Zero

Kernel

Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.

Descripción: Se solucionó un problema de daños en la memoria mejorando la administración de estados.

CVE-2019-8781: Linus Henze (pinauten.de)

Notas

Impacto: Un usuario local podía ver las notas bloqueadas de un usuario.

Descripción: El contenido de notas bloqueadas a veces aparecía en los resultados de búsqueda. Este problema se solucionó mejorando la limpieza de datos.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) del Instituto Politécnico y la Universidad Estatal de Virginia

PDFKit

Impacto: Un atacante podía exfiltrar el contenido de un archivo PDF encriptado.

Descripción: Existía un problema en el manejo de enlaces de archivos PDF encriptados. Este problema se solucionó agregando un cuadro de diálogo de confirmación.

CVE-2019-8772: Jens Müller de la Universidad Ruhr de Bochum, Fabian Ising de la Universidad FH Münster de Ciencias Aplicadas, Vladislav Mladenov de la Universidad Ruhr de Bochum, Christian Mainka de la Universidad Ruhr de Bochum, Sebastian Schinzel de la Universidad FH Münster de Ciencias Aplicadas y Jörg Schwenk de la Universidad Ruhr de Bochum

SharedFileList

Impacto: Una app creada con fines malintencionados podía obtener acceso a documentos recientes.

Descripción: Este problema se solucionó mejorando el manejo de la lógica de permisos.

CVE-2019-8770: Stanislav Zinukhov de Parallels International GmbH

sips

Impacto: Una app podía ejecutar código arbitrario con privilegios del sistema.

Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.

CVE-2019-8701: Simon Huang (@HuangShaomang), Rong Fan (@fanrong1992) y pjf de IceSword Lab de Qihoo 360

UIFoundation

Impacto: El procesamiento de un archivo de texto creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.

Descripción: Se solucionó un problema de desbordamiento de búferes mejorando la comprobación de límites.

CVE-2019-8745: riusksk de VulWar Corp en colaboración con la iniciativa Zero Day de Trend Micro

WebKit

Impacto: Visitar un sitio web creado con fines malintencionados podía revelar el historial de búsqueda.

Descripción: Existía un problema en el dibujo de elementos de páginas web. Este problema se solucionó mejorando el manejo de la lógica.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Impacto: Podía ocurrir que un usuario no pudiera eliminar elementos del historial de navegación.

Descripción: La opción “Borrar historial y datos” no borraba el historial. Este problema se solucionó mejorando la eliminación de datos.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Otros agradecimientos

Finder

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) por su ayuda.

Gatekeeper

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) por su ayuda.

Importación de datos de Safari

Nos gustaría darle las gracias a Kent Zoya por su ayuda.

Protocolo de inscripción de certificados simple (SCEP)

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Telefonía

Nos gustaría darle las gracias a Phil Stokes de SentinelOne por su ayuda.

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados o probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o productos de otros fabricantes. Apple no ofrece ninguna representación con relación a la precisión o fiabilidad de los sitios web de terceros. El uso de Internet conlleva riesgos inherentes. Comunícate con el proveedor para obtener información adicional. Otros nombres de compañías y productos mencionados pueden ser marcas registradas de sus respectivos propietarios.

Fecha de publicación: octubre 11, 2019

Acerca del contenido de seguridad de macOS Catalina 10.15

Acerca de las actualizaciones de seguridad de Apple

macOS Catalina 10.15

Otros agradecimientos

Iniciar un tema