Puedes descargar e instalar esta actualización desde las preferencias de Actualización de software o desde la página Descargas de Apple.
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o versiones necesarias. Para obtener más información sobre la seguridad de los productos Apple, consulta el sitio web Seguridad de los productos Apple.
Para obtener información acerca de la clave PGP de seguridad de los productos Apple, visita "Cómo usar la clave PGP de seguridad de los productos Apple".
Siempre que sea posible, se usan ID de CVE para hacer referencia a las vulnerabilidades a fin de obtener más información.
Para obtener información sobre las actualizaciones de seguridad, consulta "Actualizaciones de seguridad de Apple".
Mac OS X v10.6.8 y la actualización de seguridad 2011-004
AirPort
Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8
Impacto: Mientras se está conectado a una red Wi-Fi, un atacante en la misma red puede llegar a ocasionar un restablecimiento del sistema.
Descripción: Existía un problema de lectura de memoria fuera de los límites en la administración de tramas Wi-Fi. Mientras se está conectado a una red Wi-Fi, un atacante en la misma red puede llegar a ocasionar un restablecimiento del sistema. Este problema no afecta a Mac OS X v10.6.
ID CVE
CVE-2011-0196
App Store
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La contraseña de la Identificación de Apple del usuario puede haberse registrado en un archivo local.
Descripción: En determinadas circunstancias, App Store puede registrar la contraseña de la Identificación de Apple del usuario en un archivo que no pueden leer otros usuarios del sistema. Este problema se soluciona al mejorar la manipulación de las credenciales.
ID CVE
CVE-2011-0197: Paul Nelson
ATS
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización o la descarga de un documento que contiene una fuente incrustada creada con fines malintencionados podría provocar la ejecución de código arbitrario
Descripción: Existía un desbordamiento del búfer de montículo en la administración de tipos de letra TrueType. La visualización o la descarga de un documento que contenga un tipo de letra incrustado creado con fines maliciosos podrían ocasionar la ejecución de código arbitrario.
ID CVE
CVE-2011-0198: Harry Sintonen y Marc Schoenefeld, del Red Hat Security Response Team
Política de confianza en certificados
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Un atacante con una posición de red privilegiada puede interceptar las credenciales de usuario u otra información confidencial
Descripción: Existía un problema relacionado con la administración de errores en la política de confianza en certificados. Si un certificado de validación extendida (EV) no tiene una URL de OCSP y la comprobación de CLR está habilitada, la CRL no se comprueba, y un certificado revocado quizá se acepte como válido. Este problema se resolvió, dado que la mayoría de los certificados EV especifican una URL de OCSP.
ID CVE
CVE-2011-0199: Chris Hawk y Wan-Teh Chang, de Google
ColorSync
Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8
Impacto: La visualización de una imagen creada con fines maliciosos con un perfil ColorSync integrado podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: Existía un desbordamiento de enteros en el procesamiento de imágenes con un perfil ColorSync integrado, lo cual podía provocar un desbordamiento en el búfer de montículo. La apertura de una imagen creada con fines maliciosos con un perfil ColorSync incrustado podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0200: binaryproof, en colaboración con Zero Day Initiative de TippingPoint
CoreFoundation
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Las aplicaciones que utilizan un marco de trabajo de CoreFoundation pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.
Descripción: Existía un problema de desbordamiento del búfer en un byte en la administración de CFStrings. Las aplicaciones que utilizan un marco de trabajo de CoreFoundation pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.
ID CVE
CVE-2011-0201: Harry Sintonen
CoreGraphics
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La apertura de un archivo PDF creado con fines maliciosos podría ocasionar el cierre inesperado de la app o la ejecución de código arbitrario
Descripción: Existía un problema de desbordamiento de enteros en la administración de tipos de letra Type 1. La visualización o la descarga de un documento que contenga un tipo de letra incrustado creado con fines maliciosos podrían ocasionar la ejecución de código arbitrario.
ID CVE
CVE-2011-0202: Cristian Draghici, de Modulo Consulting; Felix Grobert, del equipo de seguridad de Google
Servidor FTP
Disponible para Mac OS X Server v10.6 a v10.6.7
Impacto: Una persona con acceso al FTP podría generar listas de archivos en el sistema.
Descripción: Existía un problema de validación de rutas en xftpd. Una persona con acceso al FTP podría generar un listado recursivo de directorios que comience por el directorio raíz y que incluya directorios que no se comparten para el FTP. Con el tiempo, la lista incluirá cualquiera de los archivos a los que el usuario del FTP podría acceder. El contenido de los archivos no se divulga. Este problema se solucionó mediante una validación de rutas mejorada. Este problema afecta únicamente a los sistemas Mac OS X Server.
ID CVE
CVE-2011-0203: Equipo karlkani
ImageIO
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Ver una imagen TIFF creada con fines maliciosos podía provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: Existía un desbordamiento del búfer de montículo en la administración de imágenes TIFF por parte de ImageIO. La visualización de una imagen TIFF creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0204: Dominic Chell, de NGS Secure
ImageIO
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Visitar un sitio web creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
Descripción: Existía un problema de desbordamiento del búfer de montículo en la administración de imágenes JPEG2000 por parte de ImageIO. Visitar un sitio web creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0205: Harry Sintonen
Componentes internacionales para Unicode
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Las aplicaciones que usan componentes internacionales para Unicode (ICU) podía ser vulnerables al cierre inesperado de la aplicación o la ejecución de código arbitrario.
Descripción: Existía un problema de desbordamiento del búfer en la administración de cadenas con mayúsculas por parte de los ICU. Las aplicaciones que utilizan ICU pueden estar expuestas al cierre inesperado o a la ejecución de código arbitrario.
ID CVE
CVE-2011-0206: David Bienvenu, de Mozilla
Kernel
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Un usuario local puede provocar un restablecimiento del sistema.
Descripción: Existía un problema de falta de referencia nula en la manipulación de las opciones de socket para IPV6. Un usuario local podría ocasionar un restablecimiento del sistema.
ID CVE
CVE-2011-1132: Thomas Clement, de Intego
Libsystem
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Las aplicaciones que utilizan la API glob(3) pueden estar expuestas a una denegación de servicio.
Descripción: Las aplicaciones que utilizan la API glob(3) pueden estar expuestas a una denegación de servicio. Si el patrón glob proviene de una entrada que no es de confianza, la aplicación puede dejar de responder o utilizar demasiados recursos de la CPU. Este problema se solucionó con una mejora en la validación de los patrones glob.
ID CVE
CVE-2010-2632: Maksymilian Arciemowicz
libxslt
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Visitar un sitio web creado con fines malintencionados puede ocasionar la divulgación de direcciones del montón.
Descripción: La implementación de libxsl de la función de XPath generar-id() ha divulgado la dirección de un búfer de montículo. Visitar un sitio web creado con fines maliciosos podría ocasionar la divulgación de direcciones en el montículo. Este problema se soluciona al generar una identificación basada en la diferencia entre las direcciones de dos búferes de montículo.
ID CVE
CVE-2011-0195: Chris Evans, del equipo de seguridad de Google Chrome
MobileMe
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Un atacante con una posición de red privilegiada podría leer los alias de correo electrónico de MobileMe de un usuario.
Descripción: Al comunicarse con MobileMe para determinar los alias de correo electrónico de un usuario, Mail realiza solicitudes mediante HTTP. Como resultado, un atacante con una posición de red privilegiada podría leer los alias de correo electrónico de MobileMe de un usuario. Este problema se solucionó utilizando SSL para acceder a los alias de correo electrónico del usuario.
ID CVE
CVE-2011-0207: Aaron Sigel, de vtty.com
MySQL
Disponible para Mac OS X Server v10.5.8 y Mac OS X Server v10.6 a v10.6.7
Impacto: Varias vulnerabilidades en MySQL 5.0.91.
Descripción: MySQL se actualiza a la versión 5.0.92 para resolver varias vulnerabilidades, la más grave de las cuales podría ocasionar la ejecución de código arbitrario. MySQL se suministra solamente con sistemas Mac OS X Server.
ID CVE
CVE-2010-3677
CVE-2010-3682
CVE-2010-3833
CVE-2010-3834
CVE-2010-3835
CVE-2010-3836
CVE-2010-3837
CVE-2010-3838
OpenSSL
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: varias vulnerabilidades en OpenSSL.
Descripción: Existían varias vulnerabilidades en OpenSSL, la más grave de las cuales podía ocasionar la ejecución de código arbitrario. Estos problemas se solucionaron actualizando OpenSSL a la versión 0.9.8r.
ID CVE
CVE-2009-3245
CVE-2010-0740
CVE-2010-3864
CVE-2010-4180
CVE-2011-0014
revisión
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Ejecutar una revisión en un archivo creado con fines maliciosos podría dar como resultado que se creen o se sobrescriban archivos arbitrarios.
Descripción: Existía un problema de cruce seguro de directorios en la revisión de GNU. Ejecutar una revisión en un archivo creado con fines maliciosos podría dar como resultado que se creen o sobrescriban archivos arbitrarios. Este problema se solucionó mejorando la validación de los archivos de revisión.
ID CVE
CVE-2010-4651
QuickLook
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La descarga de un archivo de Microsoft Office creado con fines malintencionados podría provocar el cierre de una aplicación de manera inesperada o la ejecución de código arbitrario.
Descripción: Existía un problema de daño en la memoria en la manipulación de archivos de Microsoft Office por parte de QuickLook. La descarga de un archivo de Microsoft Office creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario. Este problema no afecta a los sistemas anteriores a Mac OS X v10.6.
ID CVE
CVE-2011-0208: Tobias Klein, en colaboración con iDefense VCP
QuickTime
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización de un archivo WAV creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
Descripción: Existía un problema de desbordamiento de enteros en la administración de los archivos WAV RIFF por parte de QuickTime. La visualización de un archivo WAV creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0209: Luigi Auriemma, en colaboración con Zero Day Initiative de TippingPoint
QuickTime
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización de un archivo de película creado con fines maliciosos podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: Existía un problema de errores de memoria en la administración de las tablas de muestra en los archivos de película de QuickTime por parte de dicho programa. La visualización de un archivo de película creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0210: Honggang Ren, de FortiGuard Labs de Fortinet
QuickTime
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización de un archivo de película creado con fines maliciosos podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.
Descripción: Existía un problema de desbordamiento de enteros en la administración de archivos de película por parte de QuickTime. La visualización de un archivo de película creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0211: Luigi Auriemma, en colaboración con Zero Day Initiative de TippingPoint
QuickTime
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización de una imagen PICT creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
Descripción: Existía un desbordamiento del búfer en la administración de imágenes PICT por parte de QuickTime. La visualización de una imagen PICT creada con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2010-3790: Subreption LLC, en colaboración con Zero Day Initiative de TippingPoint
QuickTime
Disponible para Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: La visualización de un archivo JPEG creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
Descripción: Existía un desbordamiento del búfer en la administración de archivos JPEG por parte de QuickTime. La visualización de un archivo JPEG creado con fines maliciosos podría ocasionar el cierre inesperado de la aplicación o la ejecución de código arbitrario.
ID CVE
CVE-2011-0213: Luigi Auriemma, en colaboración con iDefense
Samba
Disponible para Mac OS X v10.5.8 y Mac OS X Server v10.5.8
Impacto: Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.
Descripción: Existía un desbordamiento del búfer de pila en la administración de identificaciones de seguridad de Windows por parte de Samba. Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario. Para sistemas con Mac OS X v10.6, este problema se solucionó en Mac OS X 10.6.7.
ID CVE
CVE-2010-3069
Samba
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.
Descripción: Existía un problema de errores de memoria en la administración de descriptores de archivos por parte de Samba. Si el uso compartido de archivos mediante SMB está habilitado, un atacante remoto podría ocasionar una denegación de servicio o la ejecución de código arbitrario.
ID CVE
CVE-2011-0719: Volker Lendecke, de SerNet
servermgrd
Disponible para Mac OS X Server v10.5.8 y Mac OS X Server v10.6 a v10.6.7
Impacto: Un atacante remoto podría leer los archivos arbitrarios del sistema.
Descripción: Existía un problema relacionado con entidades externas XML en la administración de peticiones XML-RPC por parte de servermgrd. Este problema se solucionó eliminando la interfaz XML-RPC de servermgrd. Este problema afecta únicamente a los sistemas Mac OS X Server.
ID CVE
CVE-2011-0212: Apple
Subversion
Disponible para Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6 a v10.6.7 y Mac OS X Server v10.6 a v10.6.7
Impacto: Si se configuró un servidor Subversion basado en http, un atacante remoto quizá pueda ocasionar una denegación de servicio.
Descripción: Existía un problema al eliminar una referencia nula en la administración de los tokens de bloqueo enviados a través de HTTP por parte de Subversion. Si se configuró un servidor Subversion basado en http, un atacante remoto quizá pueda ocasionar una denegación de servicio. Para los sistemas con Mac OS X v10.6, Subversion se actualizó a la versión 1.6.6. Para los sistemas con Mac OS X v10.5.8, el problema se resolvió mediante la validación adicional de los tokens de bloqueo. Para obtener más información, visita el sitio web de Subversion en http://subversion.apache.org/
ID CVE
CVE-2011-0715