Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
watchOS 7.4
Publicado el 26 de abril de 2021
AppleMobileFileIntegrity
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda omitir las preferencias de privacidad
Descripción: Se mejoraron las comprobaciones para solucionar un problema de validación de firma de código.
CVE-2021-1849: Siguza
Audio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda leer la memoria restringida
Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.
CVE-2021-1808: JunDong Xie de Ant Security Light-Year Lab
CFNetwork
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda divulgar información confidencial del usuario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.
CVE-2021-1857: Un investigador anónimo
Compression
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites
Descripción: Es posible que el procesamiento de una imagen creada con fines malintencionados ocasionara la ejecución de código arbitrario.
CVE-2021-30752: Ye Zhang (@co0py_Cat) de Baidu Security
Entrada agregada el 21 de julio de 2021
CoreAudio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2021-30664: JunDong Xie de Ant Security Light-Year Lab
Entrada agregada el 6 de mayo de 2021
CoreAudio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo de audio creado con fines malintencionados revele memoria restringida
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-1846: JunDong Xie de Ant Security Light-Year Lab
CoreAudio
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda leer la memoria restringida
Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.
CVE-2021-1809: JunDong Xie de Ant Security Light-Year Lab
CoreFoundation
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados divulgue información confidencial del usuario
Descripción: Se solucionó un problema de validación mejorando la lógica.
CVE-2021-30659: Thijs Alkemade de Computest
CoreText
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un tipo de letra creado con fines malintencionados pueda ocasionar la divulgación de la memoria de un proceso
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1811: Xingwei Lin de Ant Security Light-Year Lab
FaceTime
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que, al silenciar una llamada de CallKit mientras suena, no se silencie
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1872: Siraj Zaneer de Facebook
FontParser
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo de tipo de letra creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-1881: Un investigador anónimo, Xingwei Lin de Ant Security Light-Year Lab, Mickey Jin de Trend Micro y Hou JingYi (@hjy79425575) de Qihoo 360
Foundation
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda obtener privilegios elevados
Descripción: Se solucionó un problema de daños en la memoria mejorando la validación.
CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)
Foundation
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se solucionó un problema de validación mejorando la lógica.
CVE-2021-1813: Cees Elzinga
Heimdal
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de mensajes del servidor creados con fines malintencionados genere daños en la memoria del montón
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)
Heimdal
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante remoto pueda ocasionar una denegación de servicio
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-1880: Xingwei Lin de Ant Security Light-Year Lab
CVE-2021-30653: Ye Zhang de Baidu Security
CVE-2021-1814: Ye Zhang de Baidu Security, Mickey Jin y Qi Sun de Trend Micro, y Xingwei Lin de Ant Security Light-Year Lab
CVE-2021-1843: Ye Zhang de Baidu Security
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-1885: CFF de Topsec Alpha Team
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la comprobación de límites para solucionar un problema de escritura fuera de los límites.
CVE-2021-1858: Mickey Jin de Trend Micro
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites
Descripción: Es posible que el procesamiento de una imagen creada con fines malintencionados ocasionara la ejecución de código arbitrario.
CVE-2021-30743: Ye Zhang (@co0py_Cat) de Baidu Security, Jzhu en colaboración con la iniciativa Zero Day de Trend Micro, Xingwei Lin de Ant Security Light-Year Lab, CFF de Topsec Alpha Team, Jeonghoon Shin (@singi21a) de THEORI en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 21 de julio de 2021
ImageIO
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Para solucionar este problema, se mejoraron las comprobaciones
Descripción: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar la ejecución de código arbitrario.
CVE-2021-30764: Un investigador anónimo en colaboración con la iniciativa Zero Day de Trend Micro
Entrada agregada el 21 de julio de 2021
iTunes Store
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante con ejecución de JavaScript pueda ejecutar código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-1864: CodeColorist de Ant-Financial LightYear Labs
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda divulgar la memoria del kernel
Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.
CVE-2021-1860: @0xalsr
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.
CVE-2021-1816: Tielei Wang de Pangu Lab
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1851: @0xalsr
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que los archivos copiados no cuenten con los permisos de archivo esperados
Descripción: Se solucionó el problema mejorando la lógica de permisos.
CVE-2021-1832: Un investigador anónimo
Kernel
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda divulgar la memoria del kernel
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30660: Alex Plaskett
libxpc
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de usuario raíz
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2021-30652: James Hutchins
libxslt
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda generar daños en la memoria del montón
Descripción: Se mejoró la administración de la memoria para solucionar un problema de doble liberación.
CVE-2021-1875: Detectado por OSS-Fuzz
MobileInstallation
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un usuario local pueda modificar partes protegidas del sistema de archivos
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-1822: Bruno Virlet de The Grizzly Labs
Preferences
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un usuario local pueda modificar partes protegidas del sistema de archivos
Descripción: Se solucionó un problema de análisis sintáctico en el manejo de rutas de directorios mejorando la validación de rutas.
CVE-2021-1815: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
CVE-2021-1739: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
CVE-2021-1740: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Safari
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un usuario local pueda escribir archivos arbitrarios
Descripción: Se solucionó un problema de validación mejorando el saneamiento de entradas.
CVE-2021-1807: David Schütz (@xdavidhu)
Tailspin
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que un atacante local pueda aumentar sus privilegios
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-1868: Tim Michaud de Zoom Communications
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios
Descripción: Se solucionó un problema de validación de entradas mejorando la validación de entradas.
CVE-2021-1825: Alex Camboe de Aon’s Cyber Solutions
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-1817: zhunki
Entrada actualizada el 6 de mayo de 2021
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios universal
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-1826: Un investigador anónimo
WebKit
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados provoque la divulgación de la memoria de un proceso
Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.
CVE-2021-1820: André Bargull
Entrada actualizada el 6 de mayo de 2021
WebKit Storage
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30661: yangkang (@dnpushme) de 360 ATA
WebRTC
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación
Descripción: Es posible que un atacante remoto pueda provocar el cierre inesperado del sistema o daños en la memoria del kernel.
CVE-2020-7463: Megan2013678
Entrada agregada el 21 de julio de 2021
Wi-Fi
Disponible para Apple Watch Series 3 y versiones posteriores
Impacto: Se mejoró la administración de estados para solucionar un problema de lógica
Descripción: Es posible que un desbordamiento de búferes pueda ocasionar la ejecución de código arbitrario.
CVE-2021-1770: Jiska Classen (@naehrdine) de Secure Mobile Networking Lab, Universidad Técnica de Darmstadt
Entrada agregada el 21 de julio de 2021
Otros agradecimientos
AirDrop
Nos gustaría darle las gracias a @maxzks por su ayuda.
CoreAudio
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
CoreCrypto
Nos gustaría darle las gracias a Andy Russon de Orange Group por su ayuda.
File Bookmark
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Foundation
Nos gustaría darle las gracias a CodeColorist de Ant-Financial LightYear Labs por su ayuda.
Kernel
Nos gustaría darles las gracias a Antonio Frighetto del Politecnico di Milano (Politécnico de Milán), GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä (@Turmio_) de SensorFu, Proteas, y Tielei Wang de Pangu Lab por su ayuda.
Security
Nos gustaría darles las gracias a Xingwei Lin de Ant Security Light-Year Lab y a john (@nyan_satan) por su ayuda.
sysdiagnose
Nos gustaría darle las gracias a Tim Michaud (@TimGMichaud) de Leviathan por su ayuda.
WebKit
Nos gustaría darle las gracias a Emilio Cobos Álvarez de Mozilla por su ayuda.