Acerca del contenido de seguridad de macOS Sequoia 15

En este documento se describe el contenido de seguridad de macOS Sequoia 15.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

A través de la seguridad de Apple, se documentan vulnerabilidades de referencia por ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

macOS Sequoia 15

Publicado el 16 de septiembre de 2024

Accounts

Disponible para: Mac Studio (2022 y modelos posteriores), iMac (2019 y modelos posteriores), Mac Pro (2019 y modelos posteriores), Mac mini (2018 y modelos posteriores), MacBook Air (2020 y modelos posteriores), MacBook Pro (2018 y modelos posteriores) y iMac Pro (2017 y modelos posteriores)

Impacto: Es posible que una app pueda divulgar información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44129

Accounts

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se mejoró la lógica de permisos para solucionar el problema.

CVE-2024-44153: Mickey Jin (@patch1t)

Accounts

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44188: Bohdan Stasiuk (@Bohdan_Stasiuk)

Airport

Impacto: Una app creada con fines malintencionados podía cambiar la configuración de la red.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40792: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada agregada el 28 de octubre de 2024

APFS

Impacto: Es posible que una app malintencionada con privilegios de usuario raíz pueda modificar el contenido de los archivos del sistema

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)

APNS

Impacto: Una app con privilegios de usuario raíz podía acceder a información privada.

Descripción: Para solucionar este problema, se mejoró la protección de datos.

CVE-2024-44130

App Intents

Impacto: Una app podía acceder a datos confidenciales registrados cuando no se podía iniciar otra app con un atajo.

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44182: Kirin (@Pwnrin)

AppleGraphicsControl

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.

CVE-2024-44154: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleGraphicsControl

Impacto: Es posible que el procesamiento de un archivo de video creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-40845: Pwn2car en colaboración con el programa Zero Day Initiative de Trend Micro

CVE-2024-40846: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleMobileFileIntegrity

Impacto: Es posible que una app pueda omitir las preferencias de privacidad.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2024-44164: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40837: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó el problema mediante restricciones adicionales de firma de código.

CVE-2024-40847: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Es posible que un atacante pueda leer información confidencial

Descripción: Se solucionó un problema de reducción de la versión mediante restricciones adicionales de firma de código.

CVE-2024-40848: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de inyección de biblioteca con restricciones adicionales.

CVE-2024-44168: Claudio Bozzato y Francesco Benvenuto de Cisco Talos

AppleVA

Impacto: Una app podía leer la memoria restringida.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-27860: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

CVE-2024-27861: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppleVA

Impacto: Es posible que el procesamiento de un archivo de video creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.

CVE-2024-40841: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

AppSandbox

Impacto: Una extensión de la cámara puede acceder a internet.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-27795: Halle Winkler y Politepix @hallewinkler

AppSandbox

Impacto: Es posible que una app pueda acceder a archivos protegidos dentro de un contenedor de zona protegida para apps.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44135: Mickey Jin (@patch1t)

ArchiveService

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró el manejo de enlaces simbólicos.

CVE-2024-44132: Mickey Jin (@patch1t)

ARKit

Impacto: El procesamiento de un archivo creado con fines malintencionados podía generar daños en la memoria del montón

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44126: Holger Fuhrmannek

Entrada agregada el 28 de octubre de 2024

Automator

Impacto: Un proceso de acción rápida de Automator podía omitir Gatekeeper.

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2024-44128: Anton Boegler

bless

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44151: Mickey Jin (@patch1t)

Compression

Impacto: Abrir un archivo creado con fines malintencionados podía permitir que un atacante escribiera archivos arbitrarios.

Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Control Center

Impacto: una app puede grabar la pantalla sin indicador.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-27869: Un investigador anónimo

Control Center

Impacto: Los indicadores de privacidad para el acceso al micrófono o a la cámara pueden estar atribuidos incorrectamente.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2024-27875: Yiğit Can YILMAZ (@yilmazcanyigit)

copyfile

Impacto: Una app podía salir de su zona protegida

Descripción: Se mejoró la administración de archivos para solucionar un problema de lógica.

CVE-2024-44146: Un investigador anónimo

Core Data

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-27849: Kirin (@Pwnrin) y Rodolphe Brunetti (@eisw0lf)

Entrada agregada el 28 de octubre de 2024

CUPS

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2023-4504

DiskArbitration

Impacto: Una app aislada podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40855: Csaba Fitzl (@theevilbit) de Kandji

Entrada agregada el 28 de octubre de 2024

Disk Images

Impacto: Una app podía salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró la validación de los atributos de archivo.

CVE-2024-44148: Un investigador anónimo

Dock

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de privacidad eliminando datos confidenciales.

CVE-2024-44177: Un investigador anónimo

FileProvider

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44131: @08Tc3wBB de Jamf

Game Center

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se mejoró la validación de entradas para solucionar un problema de acceso a archivos.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

Image Capture

Impacto: Es posible que una app pueda acceder a la Fototeca de un usuario.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40831: Mickey Jin (@patch1t)

ImageIO

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-27880: Junsung Lee

ImageIO

Impacto: El procesamiento de una imagen podía provocar una denegación de servicio

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2024-44176: dw0r de ZeroPointer Lab en colaboración con el programa Zero Day Initiative de Trend Micro, un investigador anónimo

Installer

Impacto: Una app podía obtener privilegios de usuario raíz.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40861: Mickey Jin (@patch1t)

Intel Graphics Driver

Impacto: Es posible que el procesamiento de una textura creada con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2024-44160: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

Intel Graphics Driver

Impacto: Es posible que el procesamiento de una textura creada con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2024-44161: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

IOSurfaceAccelerator

Impacto: Una app podía provocar el cierre inesperado del sistema.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-44169: Antonio Zekić

Kernel

Impacto: El tráfico de red podía irse por un túnel de la VPN.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-44165: Andrew Lytvynov

Kernel

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44175: Csaba Fitzl (@theevilbit) de Kandji

Entrada agregada el 28 de octubre de 2024

Kernel

Impacto: Es posible que una app obtenga acceso no autorizado a Bluetooth

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) y Mathy Vanhoef

LaunchServices

Impacto: Una aplicación podía salir de su zona protegida.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-44122: Un investigador anónimo

Entrada agregada el 28 de octubre de 2024

libxml2

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.

CVE-2024-44198: OSS-Fuzz, Ned Williamson de Google Project Zero

Mail Accounts

Impacto: Es posible que una app acceda a información sobre los contactos de un usuario

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-40791: Rodolphe BRUNETTI (@eisw0lf)

Maps

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Se solucionó un problema con la mejora del manejo de archivos temporales.

CVE-2024-44181: Kirin(@Pwnrin) y LFY(@secsys) de Fudan University

mDNSResponder

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Se mejoró la administración de errores para solucionar un problema de lógica.

CVE-2024-44183: Olivier Levon

Model I/O

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar una denegación de servicio.

CVE-2023-5841

Music

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-27858: Meng Zhang (鲸落) de NorthSea, Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Notes

Impacto: Es posible que una app pueda sobrescribir archivos arbitrarios.

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-44167: ajajfxhj

Notification Center

Impacto: Es posible que una app creada con fines malintencionados pueda acceder a las notificaciones del dispositivo del usuario.

Descripción: Se movieron los datos confidenciales a una ubicación protegida para solucionar un problema de privacidad.

CVE-2024-40838: Brian McNulty, Cristian Dinca de “Tudor Vianu” National High School of Computer Science, Rumanía, Vaibhav Prajapati

NSColor

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Para solucionar un problema de acceso, se agregaron restricciones de la zona protegida.

CVE-2024-44186: Un investigador anónimo

OpenSSH

Impacto: Varios problemas en OpenSSH.

CVE-2024-39894

PackageKit

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2024-44178: Mickey Jin (@patch1t)

Printing

Impacto: Es posible que pueda escribirse un documento no encriptado en un archivo temporal al utilizar la vista previa de impresión.

Descripción: Se solucionó un problema de privacidad con la mejora del manejo de archivos.

CVE-2024-40826: Un investigador anónimo

Quick Look

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44149: Wojciech Regula de SecuRing (wojciechregula.blog), Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Safari

Impacto: La visita a un sitio web creado con fines malintencionados podía provocar la suplantación de la interfaz de usuario.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-40797: Rifa'i Rejal Maynando

Safari

Impacto: El contenido web creado con fines malintencionados podía infringir la política de la zona protegida de iFrame.

Descripción: Se solucionó un problema en la manipulación del esquema de URL personalizado mejorando la validación de entradas.

CVE-2024-44155: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Entrada agregada el 28 de octubre de 2024

Sandbox

Impacto: Es posible que una app creada con fines malintencionados divulgue información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44125: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: Es posible que una app creada con fines maliciosos pueda acceder a información privada

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44163: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: Es posible que una app pueda acceder a la Fototeca de un usuario.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44203: Yiğit Can YILMAZ (@yilmazcanyigit), Wojciech Regula de SecuRing (wojciechregula.blog), Kirin (@Pwnrin) de NorthSea

Entrada agregada el 28 de octubre de 2024

SceneKit

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de tamaños para solucionar un problema de desbordamiento de búferes.

CVE-2024-44144: 냥냥

Entrada agregada el 28 de octubre de 2024

Screen Capture

Impacto: Un atacante con acceso físico podía compartir elementos desde la pantalla de bloqueo.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44137: Halle Winkler, Politepix @hallewinkler

Entrada agregada el 28 de octubre de 2024

Screen Capture

Impacto: Es posible que un atacante pueda ver contenido restringido desde la pantalla de bloqueo.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44174: Vivek Dhar

Entrada agregada el 28 de octubre de 2024

Security

Impacto: Una app creada con fines malintencionados con privilegios de usuario raíz podía acceder a información de ubicación y entrada de datos del teclado sin el consentimiento del usuario.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44123: Wojciech Regula de SecuRing (wojciechregula.blog)

Entrada agregada el 28 de octubre de 2024

Security Initialization

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40801: Zhongquan Li (@Guluisacat), Pedro José Pereira Vieito (@pvieito), un investigador anónimo

Shortcuts

Impacto: Una app podía acceder a datos protegidos del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40837: Kirin (@Pwnrin)

Shortcuts

Impacto: Un atajo podía emitir datos confidenciales del usuario sin su consentimiento.

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44158: Kirin (@Pwnrin)

Shortcuts

Impacto: Una app podía observar los datos que Atajos muestra al usuario.

Descripción: Se solucionó un problema de privacidad con la mejora del manejo de archivos temporales.

CVE-2024-40844: Kirin (@Pwnrin) y luckyu (@uuulucky) de NorthSea

Sidecar

Impacto: Un atacante con acceso físico a un dispositivo macOS con Sidecar activado podía omitir la pantalla de bloqueo.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44145: Om Kothawade, Omar A. Alanis de UNTHSC College of Pharmacy

Entrada agregada el 28 de octubre de 2024

Siri

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se movieron los datos confidenciales a una ubicación más segura para solucionar un problema de privacidad.

CVE-2024-44170: K宝, LFY (@secsys), Smi1e, yulige, Cristian Dinca (icmd.tech), Rodolphe BRUNETTI (@eisw0lf)

sudo

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40860: Arsenii Kostromin (0x3c3e)

System Settings

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-44152: Kirin (@Pwnrin)

CVE-2024-44166: Kirin(@Pwnrin) y LFY(@secsys) de Fudan University

System Settings

Impacto: Una app podía leer archivos arbitrarios.

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2024-44190: Rodolphe BRUNETTI (@eisw0lf)

TCC

Impacto: En los dispositivos gestionados por MDM, una app puede saltarse ciertas preferencias de privacidad.

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-44133: Jonathan Bar Or (@yo_yo_yo_jbo) de Microsoft

Transparency

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-44184: Bohdan Stasiuk (@Bohdan_Stasiuk)

TV App

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40859: Csaba Fitzl (@theevilbit) de Kandji

Entrada actualizada el 28 de octubre de 2024

Vim

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

CVE-2024-41957

WebKit

Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

WebKit Bugzilla: 268724

CVE-2024-40857: Ron Masas

WebKit

Impacto: visitar un sitio web creado con fines malintencionados podía provocar la suplantación de la barra de direcciones

Descripción: Para solucionar este problema, se mejoró la interfaz de usuario.

WebKit Bugzilla: 279451

CVE-2024-40866: Hafiizh y YoKo Kho (@yokoacc) de HakTrak

WebKit

Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.

Descripción: Existía un problema de origen cruzado con los elementos de iFrame. Este problema se solucionó mejorando el seguimiento de los orígenes de seguridad.

WebKit Bugzilla: 279452

CVE-2024-44187: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Wi-Fi

Impacto: Un usuario sin privilegios podía modificar la configuración de red restringida.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-40770: Yiğit Can YILMAZ (@yilmazcanyigit)

Wi-Fi

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-23237: Charly Suchanek

Wi-Fi

Impacto: Es posible que una app pueda obtener acceso a información confidencial de ubicación

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-44134

Wi-Fi

Impacto: Es posible que un atacante pueda forzar un dispositivo a desconectarse de una red segura.

Descripción: Se solucionó un problema de integridad con Beacon Protection.

CVE-2024-40856: Domien Schepers

WindowServer

Impacto: Existía un problema de lógica por el que un proceso podía capturar el contenido de la pantalla sin el consentimiento del usuario.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-44189: Tim Clem

WindowServer

Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-44208: Un investigador anónimo

Entrada agregada el 28 de octubre de 2024

XProtect

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar un problema, se mejoró la validación de las variables de entorno.

CVE-2024-40842: Gergely Kalman (@gergely_kalman)

XProtect

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40843: Koh M. Nakagawa (@tsunek0h)

Otros agradecimientos

Admin Framework

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Airport

Nos gustaría darle las gracias a David Dudok de Wit por su ayuda.

Entrada actualizada el 28 de octubre de 2024

APFS

Nos gustaría darle las gracias a Georgi Valkov de httpstorm.com por su ayuda.

App Store

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

Entrada actualizada el 28 de octubre de 2024

AppKit

Nos gustaría darle las gracias a @08Tc3wBB de Jamf por su ayuda.

Apple Neural Engine

Nos gustaría darles las gracias a Jiaxun Zhu (@svnswords) y Minghao Lin (@Y1nKoc) por su ayuda.

Automator

Nos gustaría darle las gracias a Koh M. Nakagawa (@tsunek0h) por su ayuda.

Core Bluetooth

Nos gustaría darle las gracias a Nicholas C. de Onymos Inc. (onymos.com) por su ayuda.

Core Services

Nos gustaría darles las gracias a Cristian Dinca de “Tudor Vianu” National High School of Computer Science (Rumanía), Kirin (@Pwnrin) y 7feilee, Snoolie Keffaber (@0xilis), Tal Lossos, Zhongquan Li (@Guluisacat) por su ayuda.

CUPS

Nos gustaría darle las gracias a moein abas por su ayuda.

Entrada agregada el 28 de octubre de 2024

Disk Utility

Nos gustaría darle las gracias a Csaba Fitzl (@theevilbit) de Kandji por su ayuda.

dyld

Nos gustaría darles las gracias a Pietro Francesco Tirenna, Davide Silvetti y Abdel Adim Oisfi de Shielder (shielder.com) por su ayuda.

Entrada agregada el 28 de octubre de 2024

FileProvider

Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.

Foundation

Nos gustaría darle las gracias a Ostorlab por su ayuda.

Kernel

Nos gustaría darles las gracias a Braxton Anderson, y a Fakhri Zulkifli (@d0lph1n98) de PixiePoint Security por su ayuda.

libxpc

Nos gustaría darles las gracias a Rasmus Sten y F-Secure (Mastodon: @pajp@blog.dll.nu) por su ayuda.

LLVM

Nos gustaría darles las gracias a Victor Duta de Universiteit Amsterdam, Fabio Pagani de University of California, Santa Barbara, Cristiano Giuffrida de Universiteit Amsterdam, Marius Muench y Fabian Freyer por su ayuda.

Maps

Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.

Music

Nos gustaría darles las gracias a Khiem Tran de databaselog.com/khiemtran, K宝 y LFY@secsys de Fudan University, Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.

Notification Center

Nos gustaría darles las gracias a Kirin (@Pwnrin) y LFYSec por su ayuda.

Entrada agregada el 28 de octubre de 2024

Notifications

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

PackageKit

Nos gustaría darles las gracias a Csaba Fitzl (@theevilbit) de Kandji, Mickey Jin (@patch1t) y Zhongquan Li (@Guluisacat) por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Passwords

Nos gustaría darle las gracias a Richard Hyunho Im (@r1cheeta) por su ayuda.

Photos

Nos gustaría darles las gracias por su ayuda a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal India, Harsh Tyagi y Leandro Chaves por su ayuda.

Podcasts

Nos gustaría darle las gracias a Yiğit Can YILMAZ (@yilmazcanyigit) por su ayuda.

Quick Look

Nos gustaría darle las gracias a Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com) por su ayuda.

Safari

Nos gustaría darles las gracias a Hafiizh y YoKo Kho (@yokoacc) de HakTrak, Junsung Lee y Shaheen Fazim por su ayuda.

Sandbox

Nos gustaría darle las gracias a Cristian Dinca de "Tudor Vianu" National High School of Computer Science, Romania por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Screen Capture

Nos gustaría darles las gracias a Joshua Jewett (@JoshJewett33), Yiğit Can YILMAZ (@yilmazcanyigit) y a un investigador anónimo por su ayuda.

Shortcuts

Nos gustaría darles las gracias a Cristian Dinca de “Tudor Vianu” National High School of Computer Science (Rumanía), Jacob Braun y un investigador anónimo por su ayuda.

Siri

Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal, India, Rohan Paudel y un investigador anónimo por su ayuda.

Entrada actualizada el 28 de octubre de 2024

SystemMigration

Nos gustaría darles las gracias a Jamey Wicklund, Kevin Jansen y a un investigador anónimo por su ayuda.

TCC

Nos gustaría darles las gracias a Noah Gregory (wts.dev) y Vaibhav Prajapati por su ayuda.

UIKit

Nos gustaría darle las gracias a Andr.Ess por su ayuda.

Voice Memos

Nos gustaría darle las gracias a Lisa B por su ayuda.

WebKit

Nos gustaría darles las gracias a Avi Lumelsky de Oligo Security, Uri Katz de Oligo Security, Braylon (@softwarescool), Eli Grey (eligrey.com), Johan Carlsson (joaxcar), Numan Türle - Rıza Sabuncu por su ayuda.

Entrada actualizada el 28 de octubre de 2024

Wi-Fi

Nos gustaría darles las gracias a Antonio Zekic (@antoniozekic) y ant4g0nist, y Tim Michaud (@TimGMichaud) de Moveworks.ai por su ayuda.

WindowServer

Nos gustaría darle las gracias a Felix Kratz por su ayuda.

Entrada actualizada el 28 de octubre de 2024

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: 04 de noviembre de 2024