Acerca del contenido de seguridad de watchOS 11.2

En este documento, se describe el contenido de seguridad de watchOS 11.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

watchOS 11.2

APFS

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-54541: Arsenii Kostromin (0x3c3e) y un investigador anónimo

AppleMobileFileIntegrity

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Una app creada con fines malintencionados podía obtener acceso a información privada.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2024-54527: Mickey Jin (@patch1t)

Crash Reporter

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-54513: Un investigador anónimo

Face Gallery

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Un binario del sistema podía utilizarse para registrar la huella digital de la Cuenta de Apple de un usuario.

Descripción: Se eliminaron los indicadores correspondientes para solucionar el problema.

CVE-2024-54512: Bistrit Dahal

FontParser

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de un tipo de letra creado con fines malintencionados podía ocasionar la divulgación de la memoria de un proceso.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54486: Hossein Lotfi (@hosselot) del programa Zero Day Initiative de Trend Micro

ICU

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2024-54478: Gary Kwong

ImageIO

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2024-54499: Anónimo en colaboración con el programa Zero Day Initiative de Trend Micro

ImageIO

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de una imagen creada con fines malintencionados podía provocar la divulgación de la memoria de un proceso.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54500: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro

IOMobileFrameBuffer

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que una app pueda corromper la memoria del coprocesador.

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2024-54517: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54518: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54522: Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54523: Ye Zhang (@VAR10CK) de Baidu Security

Kernel

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que una app pueda salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54468: Un investigador anónimo

Kernel

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Un atacante podía crear un mapeo de memoria de solo lectura que se pueda modificar.

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2024-54494: sohybbyk

Kernel

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.

CVE-2024-54510: Joseph Ravichandran (@0xjprx) de MIT CSAIL

libexpat

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que un usuario remoto pueda provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-45490

libxpc

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que una app pueda salir de su zona protegida

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54514: Un investigador anónimo

libxpc

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Una app podía obtener privilegios elevados.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-44225: 风沐云烟(@binary_fmyy)

Passkeys

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que la función de llenado automático de contraseña complete las contraseñas cuando falla la autenticación

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54530: Abhay Kailasia (@abhay_kailasia) de C-DAC (Thiruvananthapuram, India), Rakeshkumar Talaviya

QuartzCore

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web pueda provocar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54497: Anónimo en colaboración con el programa Zero Day Initiative de Trend Micro

Safari Private Browsing

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que se pueda ingresar a pestañas de navegación privada sin autenticación.

Descripción: Para solucionar un problema de autenticación, se mejoró la administración de estados.

CVE-2024-54542: Rei (@reizydev), Kenneth Chew

SceneKit

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de un archivo creado con fines malintencionados podía ocasionar una denegación de servicio.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54501: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

Vim

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda generar daños en la memoria del montón

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-45306

WebKit

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-54479: Seunghyun Lee

CVE-2024-54502: Brendon Tiszka de Proyecto Cero de Google

WebKit

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-54508: linjy de HKUS3Lab y chluo de WHUSecLab, Xiangwei Zhang de Tencent Security YUNDING LAB

WebKit

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía dañar la memoria.

Descripción: se mejoró el manejo de la memoria para solucionar un problema de confusión de tipo.

CVE-2024-54505: Gary Kwong

WebKit

Disponible para: Apple Watch Series 6 y versiones posteriores

Impacto: El procesamiento de contenido web creado con fines malintencionados podía dañar la memoria.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-54534: Tashita Software Security

CVE-2024-54543: Lukas Bernhard, Gary Kwong y un investigador anónimo

Otros agradecimientos

FaceTime

Nos gustaría darle las gracias a 椰椰 por su ayuda.

Proximity

Nos gustaría darles las gracias a Junming C. (@Chapoly1305) y al Prof. Qiang Zeng de George Mason University por su ayuda.

Swift

Nos gustaría darles las gracias a Marc Schoenefeld y al Dr. Rer. nat. por su ayuda.

WebKit

Nos gustaría darle las gracias a Hafiizh por su ayuda.