Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Ventura 13.6
Publicado el 21 de septiembre de 2023
Apple Neural Engine
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-40412: Mohamed GHANNAM (@_simo36)
CVE-2023-40409: Ye Zhang (@VAR10CK) de Baidu Security
Entrada agregada el 26 de septiembre de 2023
Apple Neural Engine
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2023-41071: Mohamed GHANNAM (@_simo36)
Entrada agregada el 26 de septiembre de 2023
Apple Neural Engine
Disponible para macOS Ventura
Impacto: Una app podía divulgar la memoria del kernel.
Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la validación de entradas.
CVE-2023-40410: Tim Michaud (@TimGMichaud) de Moveworks.ai
Entrada agregada el 26 de septiembre de 2023
Ask to Buy
Disponible para macOS Ventura
Impacto: Es posible que una app pueda acceder a datos protegidos del usuario
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-38612: Chris Ross (Zoom)
Entrada agregada el 22 de diciembre de 2023
Biometric Authentication
Disponible para macOS Ventura
Impacto: Una app podía divulgar la memoria del kernel.
Descripción: Se mejoró la comprobación de límites para solucionar un problema de lectura fuera de los límites.
CVE-2023-41232: Liang Wei de PixiePoint Security
Entrada agregada el 26 de septiembre de 2023
ColorSync
Disponible para macOS Ventura
Impacto: Una app podía leer archivos arbitrarios.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-40406: JeongOhKyea de Theori
Entrada agregada el 26 de septiembre de 2023
CoreAnimation
Disponible para macOS Ventura
Impacto: El procesamiento de contenido web podía provocar una denegación de servicio.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-40420: 이준성(Junsung Lee) de Cross Republic
Entrada agregada el 26 de septiembre de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-41984: Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd.
Entrada agregada el 26 de septiembre de 2023
Kernel
Disponible para macOS Ventura
Impacto: Un atacante que lograba ejecutar el código del kernel podía omitir las mitigaciones de memoria del kernel.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-41981: Linus Henze de Pinauten GmbH (pinauten.de)
Entrada agregada el 26 de septiembre de 2023
Kernel
Disponible para macOS Ventura
Impacto: Es posible que un atacante local pueda aumentar sus privilegios. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 16.7.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-41992: Bill Marczak de The Citizen Lab de Munk School de la Universidad de Toronto y Maddie Stone de Threat Analysis Group de Google
libxpc
Disponible para macOS Ventura
Impacto: Es posible que una app pueda acceder a datos protegidos del usuario
Descripción: Se mejoró la administración de estados para solucionar un problema de autorización.
CVE-2023-41073: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrada agregada el 26 de septiembre de 2023
libxpc
Disponible para macOS Ventura
Impacto: Una app podía eliminar archivos para los que no tenía permiso.
Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.
CVE-2023-40454: Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrada agregada el 26 de septiembre de 2023
libxslt
Disponible para macOS Ventura
Impacto: Es posible que el procesamiento de contenido web pueda divulgar información confidencial
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2023-40403: Dohyun Lee (@l33d0hyun) de PK Security
Entrada agregada el 26 de septiembre de 2023
Maps
Disponible para macOS Ventura
Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2023-40427: Adam M. y Wojciech Regula de SecuRing (wojciechregula.blog)
Entrada agregada el 26 de septiembre de 2023
Pro Res
Disponible para macOS Ventura
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.
Descripción: Este problema se solucionó mejorando el manejo de la memoria.
CVE-2023-41063: Equipo de Certik Skyfall
Entrada agregada el 26 de septiembre de 2023
Sandbox
Disponible para macOS Ventura
Impacto: Una app podía sobrescribir archivos arbitrarios.
Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.
CVE-2023-40452: Yiğit Can YILMAZ (@yilmazcanyigit)
Entrada agregada el 26 de septiembre de 2023
Sandbox
Disponible para macOS Ventura
Impacto: Las apps que no pasaban las pruebas de verificación podían iniciarse de todos modos.
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2023-41996: Yiğit Can YILMAZ (@yilmazcanyigit) y Mickey Jin (@patch1t)
Entrada agregada el 26 de septiembre de 2023
Security
Disponible para macOS Ventura
Impacto: Es posible que una app creada con fines malintencionados pueda omitir la validación de firma. Apple está al tanto de que este problema podría haberse explotado de forma activa frente a las versiones de iOS anteriores a iOS 16.7.
Descripción: Se solucionó un problema de validación de certificados.
CVE-2023-41991: Bill Marczak de The Citizen Lab de Munk School de la Universidad de Toronto y Maddie Stone de Threat Analysis Group de Google
Share Sheet
Disponible para macOS Ventura
Impacto: Una app podía acceder a datos confidenciales registrados cuando un usuario compartía un enlace.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2023-41070: Kirin (@Pwnrin)
Entrada agregada el 26 de septiembre de 2023
StorageKit
Disponible para macOS Ventura
Impacto: Una app podía leer archivos arbitrarios.
Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.
CVE-2023-41968: Mickey Jin (@patch1t) y James Hutchins
Entrada agregada el 26 de septiembre de 2023
Otros agradecimientos
Apple Neural Engine
Nos gustaría darles las gracias a pattern-f (@pattern_F_) de Ant Security Light-Year Lab por su ayuda.
Entrada agregada el 22 de diciembre de 2023
AppSandbox
Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.
Entrada agregada el 26 de septiembre de 2023
Kernel
Nos gustaría darles las gracias a Bill Marczak de The Citizen Lab at The University of Toronto's Munk School y Maddie Stone de Google's Threat Analysis Group por su ayuda.
libxml2
Nos gustaría darles las gracias a OSS-Fuzz y Ned Williamson de Google Project Zero por su ayuda.
Entrada agregada el 26 de septiembre de 2023
WebKit
Nos gustaría darle las gracias a Khiem Tran, and Narendra Bhati From Suma Soft Pvt. Ltd, Pune (India) por su ayuda.
Entrada agregada el 26 de septiembre de 2023
WebRTC
Nos gustaría darle las gracias a un investigador anónimo por su ayuda.
Entrada agregada el 26 de septiembre de 2023