Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
tvOS 16.2
Publicado el 13 de diciembre de 2022
Accounts
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Un usuario podía visualizar la información confidencial de otro usuario.
Descripción: Para solucionar este problema, se mejoró la protección de datos.
CVE-2022-42843: Mickey Jin (@patch1t)
AppleAVD
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El análisis de un archivo de video creado con fines malintencionados podía provocar la ejecución del código del kernel.
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-46694: Andrey Labunets y Nikita Tarakanov
AppleMobileFileIntegrity
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Una app podía omitir las preferencias de privacidad.
Descripción: Para solucionar este problema, se activó la función Hardened Runtime.
CVE-2022-42865: Wojciech Reguła (@_r3ggi) de SecuRing
AVEVideoEncoder
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Una app podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2022-42848: ABC Research s.r.o
ImageIO
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de un archivo creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-46693: Mickey Jin (@patch1t)
ImageIO
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El análisis de un archivo TIFF creado con fines malintencionados podía derivar en la divulgación de información del usuario.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42851: Mickey Jin (@patch1t)
IOHIDFamily
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar un problema de condición de carrera, se mejoró el manejo de estados.
CVE-2022-42864: Tommy Muir (@Muirey03)
IOMobileFrameBuffer
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2022-46690: John Aakerblom (@jaakerblom)
iTunes Store
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Existía un problema en el análisis de direcciones URL. Este problema se solucionó mejorando la validación de entradas.
CVE-2022-42837: Weijia Dai (@dwj1210) de Momo Security
Entrada agregada el 7 de junio de 2023
Kernel
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2022-46689: Ian Beer de Google Project Zero
Kernel
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: La conexión a un servidor NFS creado con fines malintencionados podía provocar la ejecución de código arbitrario con privilegios del kernel.
Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.
CVE-2022-46701: Felix Poulin-Belanger
Kernel
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Un usuario remoto podía ocasionar la ejecución del código del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42842: patrón-f (@pattern_F_) de Ant Security Light-Year Lab
Kernel
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Una app con privilegios de usuario raíz podía ejecutar código arbitrario con privilegios del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42845: Adam Doupé de ASU SEFCOM
Kernel
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria pueda omitir la autenticación del puntero. Apple está al tanto de que este problema podría haberse explotado frente a las versiones de iOS anteriores a iOS 15.7.1.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2022-48618: Apple
Entrada agregada el 9 de enero de 2024
libxml2
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2022-40303: Maddie Stone de Google Project Zero
libxml2
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una app o la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2022-40304: Ned Williamson y Nathan Wachholz de Google Project Zero
Preferences
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Una app podía usar derechos arbitrarios.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2022-42855: Ivan Fratric de Google Project Zero
Safari
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Visitar un sitio web con contenido malicioso podía provocar una suplantación en la interfaz del usuario.
Descripción: Existía un problema de suplantación en el manejo de direcciones URL. Para solucionar este problema, se mejoró la validación de entradas.
CVE-2022-46695: KirtiKumar Anandrao Ramchandani
Software Update
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que un usuario pueda aumentar los privilegios
Descripción: Existía un problema de acceso con las llamadas de API privilegiadas. Este problema se solucionó mediante restricciones adicionales.
CVE-2022-42849: Mickey Jin (@patch1t)
Weather
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2022-42866: Un investigador anónimo
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones
Descripción: Existía un problema de suplantación en el manejo de direcciones URL. Para solucionar este problema, se mejoró la validación de entradas.
CVE-2022-46705: Hyeon Park (@tree_segment) de Team ApplePIE
Entrada agregada el 7 de junio de 2023
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.
WebKit Bugzilla: 245521
CVE-2022-42867: Maddie Stone de Google Project Zero
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de daños en la memoria mejorando el manejo de la memoria.
WebKit Bugzilla: 245466
CVE-2022-46691: Un investigador anónimo
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía omitir la política del mismo origen.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados provoque la divulgación de la memoria de un proceso
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2022-42852: anónimo en colaboración con el programa Zero Day Initiative de Trend Micro
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
WebKit Bugzilla: 246942
CVE-2022-46696: Samuel Groß, de Google V8 Security
WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß, de Google V8 Security
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía divulgar información confidencial del usuario.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2022-46698: Dohyun Lee (@l33d0hyun) de SSD Secure Disclosure Labs y DNSLab, Universidad de Corea
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.
WebKit Bugzilla: 247420
CVE-2022-46699: Samuel Groß, de Google V8 Security
WebKit Bugzilla: 244622
CVE-2022-42863: Un investigador anónimo
WebKit
Disponible para Apple TV 4K, Apple TV 4K (segunda generación y modelos posteriores) y Apple TV HD
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 15.1.
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lepigne, de Google’s Threat Analysis Group
Otros agradecimientos
Kernel
Nos gustaría darle las gracias a Zweig de Kunlun Lab por su ayuda.
Safari Extensions
Nos gustaría darles las gracias a Oliver Dunk y Christian R. de 1Password por su ayuda.
WebKit
Nos gustaría darles las gracias a un investigador anónimo y scarlet por su ayuda.