Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Versiones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre la seguridad, consulta la página Seguridad de los productos Apple.
visionOS 1.1
Publicado el 7 de marzo de 2024
Accessibility
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda suplantar las notificaciones del sistema y la interfaz de usuario
Descripción: Para solucionar este problema, se realizaron comprobaciones de derechos adicionales.
CVE-2024-23262: Guilherme Rambo de Best Buddy Apps (rambo.codes)
ImageIO
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de una imagen pueda generar la divulgación de la memoria de un proceso
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2024-23257: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro
ImageIO
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de una imagen pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2024-23258: Zhenjiang Zhao del equipo Pangu y Qianxin
ImageIO
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de una imagen pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
CVE-2024-23286: Dohyun Lee (@l33d0hyun)
Kernel
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.
CVE-2024-23235
Kernel
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda generar el cierre inesperado del sistema o la escritura de la memoria del kernel
Descripción: Se solucionó un problema de vulnerabilidad de daños en la memoria mejorando el bloqueo.
CVE-2024-23265: Xinru Chi de Pangu Lab
Kernel
Disponible para: Apple Vision Pro
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria del kernel pueda omitir las protecciones de memoria del kernel. Apple está al tanto de que este problema podría haberse explotado.
Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.
CVE-2024-23225
Metal
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda leer la memoria restringida
Descripción: Se mejoró el saneamiento de entradas para solucionar un problema de validación.
CVE-2024-23264: Meysam Firouzi (@R00tkitsmm) en colaboración con el programa Zero Day Initiative de Trend Micro
Persona
Disponible para: Apple Vision Pro
Impacto: Es posible que un usuario no autenticado pueda utilizar una Persona sin protección
Descripción: Se abordó un problema de permisos para ayudar a garantizar que las Personas siempre estén protegidas
CVE-2024-23295: Patrick Reardon
RTKit
Disponible para: Apple Vision Pro
Impacto: Es posible que un atacante con una función de lectura y escritura arbitraria del kernel pueda omitir las protecciones de memoria del kernel. Apple está al tanto de que este problema podría haberse explotado.
Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.
CVE-2024-23296
Safari
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda registrar la huella digital del usuario
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2024-23220
UIKit
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda salir de su zona protegida
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2024-23246: Deutsche Telekom Security GmbH patrocinado por Bundesamt für Sicherheit in der Informationstechnik
WebKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de contenido web genere la ejecución de código arbitrario
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Disponible para: Apple Vision Pro
Impacto: Es posible que un sitio web creado con fines malintencionados exfiltre datos de audio mediante un origen cruzado
Descripción: Para solucionar este problema, se mejoró el manejo de IU.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados impida que se apliquen las políticas de seguridad del contenido
Descripción: Se mejoró la validación para solucionar un problema de lógica.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados impida que se apliquen las políticas de seguridad del contenido
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber y Marco Squarcina
Otros agradecimientos
Kernel
Nos gustaría darles las gracias a Tarek Joumaa (@tjkr0wn) y 이준성(Junsung Lee) por su ayuda.
Model I/O
Nos gustaría darle las gracias a Junsung Lee por su ayuda.
Power Management
Nos gustaría darle las gracias a Pan ZhenPeng (@Peterpan0927) de STAR Labs SG Pte. Ltd. por su ayuda.
Safari
Nos gustaría darle las gracias a Abhinav Saraswat, Matthew C y 이동하 (Lee Dong Ha de ZeroPointer Lab) por su ayuda.
WebKit
Nos gustaría darles las gracias a Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina y Lorenzo Veronese de TU Wien por su ayuda.