Acerca del contenido de seguridad de macOS Monterey 12.0.1
En este documento, se describe el contenido de seguridad de macOS Monterey 12.0.1.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones más recientes se pueden encontrar en la página Actualizaciones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que es posible.
Para obtener más información sobre la seguridad, consulta la página de seguridad de los productos Apple.
macOS Monterey 12.0.1
AppKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30873: Thijs Alkemade de Computest
AppleScript
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo binario de AppleScript creado con fines malintencionados podía ocasionar el cierre inesperado de una app o la divulgación de la memoria de un proceso.
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30876: Jeremy Brown y hjy79425575
CVE-2021-30879: Jeremy Brown y hjy79425575
CVE-2021-30877: Jeremy Brown
CVE-2021-30880: Jeremy Brown
App Store
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía acceder a los Apple ID de usuarios locales.
Descripción: Se solucionó un problema de acceso mejorando las restricciones de acceso.
CVE-2021-30994: Sergii Kryvoblotskyi de MacPaw Inc.
Audio
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app creada con fines malintencionados pueda elevar privilegios
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2021-30907: Zweig de Kunlun Lab
Bluetooth
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2021-30899: Weiteng Chen, Zheng Zhang y Zhiyun Qian de UC Riverside, y Yu Wang de Didi Research America
Bluetooth
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía divulgar la memoria del kernel
Descripción: Se mejoró la validación para solucionar un problema de lógica.
CVE-2021-30931: Weiteng Chen, Zheng Zhang y Zhiyun Qian de UC Riverside, y Yu Wang de Didi Research America
bootp
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un dispositivo podía rastrearse de forma pasiva por su dirección MAC Wi-Fi.
Descripción: Se solucionó un problema de privacidad del usuario eliminando la dirección MAC de difusión.
CVE-2021-30866: Fabien Duchêne de UCLouvain (Bélgica)
ColorSync
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Existía un problema de daños en la memoria en el procesamiento de perfiles ICC. Para solucionar este problema, se mejoró la validación de entradas.
CVE-2021-30917: Alexandru-Vlad Niculae y Mateusz Jurczyk de Google Project Zero
Continuity Camera
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante local podía provocar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: Se mejoró la validación de entradas para solucionar un problema de cadenas de formato de sin control.
CVE-2021-30903: Un investigador anónimo
CoreAudio
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo creado con fines malintencionados podía revelar información del usuario
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30905: Mickey Jin (@patch1t) de Trend Micro
CoreGraphics
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo PDF creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.
CVE-2021-30919
Directory Utility
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía acceder a los Apple ID de usuarios locales.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2020-9846: Wojciech Reguła (@_r3ggi)
FileProvider
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Abrir un archivo creado con fines malintencionados podía provocar la ejecución de código arbitrario.
Descripción: Se solucionó un problema de validación de entradas mejorando el manejo de la memoria.
CVE-2021-30881: Simon Huang (@HuangShaomang) y pjf de IceSword Lab de Qihoo 360
File System
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-30923: Pan ZhenPeng (@Peterpan0927) de Alibaba Security
FontParser
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de un tipo de letra creado con fines malintencionados pueda ocasionar la divulgación de la memoria de un proceso
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30831: Xingwei Lin de Ant Security Light-Year Lab
FontParser
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo .dfont creado con fines malintencionados podía ocasionar la ejecución de código arbitrario.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30840: Xingwei Lin de Ant Security Light-Year Lab
Foundation
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionó un problema de confusión de tipo mejorando el manejo de la memoria.
CVE-2021-30852: Yinyi Wu (@3ndy1) de Ant Security Light-Year Lab
Game Center
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía acceder a información sobre los contactos de un usuario.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30895: Denis Tokarev
Game Center
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía leer los datos de los juegos del usuario.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30896: Denis Tokarev
Graphics Drivers
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.
CVE-2021-30933: Jack Dates de RET2 Systems, Inc.
iCloud
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que un atacante local pueda aumentar sus privilegios
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30906: Cees Elzinga
iCloud Photo Library
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía acceder a los metadatos de las fotos sin el permiso necesario para acceder a ellas.
Descripción: Para solucionar este problema, se mejoró la autenticación.
CVE-2021-30867: Csaba Fitzl (@theevilbit) de Offensive Security
ImageIO
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de una imagen creada con fines malintencionados podía ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.
CVE-2021-30814: hjy79425575
Intel Graphics Driver
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la comprobación de límites para solucionar varios problemas de escritura fuera de los límites.
CVE-2021-30922: Jack Dates de RET2 Systems, Inc., Yinyi Wu (@3ndy1)
Intel Graphics Driver
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de estados para solucionar un problema de daños en la memoria.
CVE-2021-30824: Antonio Zekic (@antoniozekic) de Diverto
Intel Graphics Driver
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la comprobación de límites para solucionar varios problemas de escritura fuera de los límites.
CVE-2021-30901: Zuozhi Fan (@pattern_F_) de Ant Security TianQiong Lab, Yinyi Wu (@3ndy1) de Ant Security Light-Year Lab y Jack Dates de RET2 Systems, Inc.
IOGraphics
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30821: Tim Michaud (@TimGMichaud) de Zoom Video Communications
IOMobileFrameBuffer
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30883: Un investigador anónimo
Kernel
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante remoto podía provocar que un dispositivo se reiniciara de manera inesperada.
Descripción: Se mejoró el manejo de estados para solucionar un problema de denegación de servicio.
CVE-2021-30924: Elaman Iskakov (@darling_x0r) de Effective y Alexey Katkov (@watman27)
Kernel
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30886: @0xalsr
Kernel
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30909: Zweig de Kunlun Lab
Kernel
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30916: Zweig de Kunlun Lab
LaunchServices
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un proceso aislado podía eludir las restricciones de la zona protegida.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30864: Ron Hass (@ronhass7) de Perception Point
Login Window
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una persona con acceso a una Mac principal podía omitir la ventana de inicio de sesión en Remote Desktop de una instancia bloqueada de macOS.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2021-30813: Benjamin Berger de BBetterTech LLC, Peter Goedtkindt de Informatique-MTF S.A. y un investigador anónimo
Managed Configuration
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que un usuario con una posición de red privilegiada pueda divulgar información confidencial del usuario
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-31011: Michal Moravec de Logicworks, s.r.o.
Messages
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Los mensajes de un usuario podían seguir sincronizándose después de que el usuario cerraba sesión en iMessage.
Descripción: Se mejoró la validación de estados para solucionar un problema de sincronización.
CVE-2021-30904: Reed Meseck de IBM
Model I/O
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo creado con fines malintencionados podía revelar información del usuario
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30910: Mickey Jin (@patch1t) de Trend Micro
Model I/O
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo USD creado con fines malintencionados podía revelar el contenido de la memoria
Descripción: Se solucionó un problema de lectura fuera de los límites mejorando la comprobación de límites.
CVE-2021-30911: Rui Yang y Xingwei Lin de Ant Security Light-Year Lab
NetworkExtension
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app podía instalar una configuración de VPN sin permiso del usuario.
Descripción: Se mejoró la administración de estados para solucionar un problema de autorización.
CVE-2021-30874: Javier Vieira Boccardo (linkedin.com/javier-vieira-boccardo)
Sandbox
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app creada con fines malintencionados pueda modificar partes protegidas del sistema de archivos
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30808: Csaba Fitzl (@theevilbit) de Offensive Security
Sandbox
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante local podía leer información confidencial.
Descripción: Se mejoró la validación para solucionar un problema de permisos.
CVE-2021-30920: Csaba Fitzl (@theevilbit) de Offensive Security
Security
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app pueda obtener privilegios elevados
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-31004: Csaba Fitzl (@theevilbit) de Offensive Security
SMB
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía ejecutar código arbitrario con privilegios del sistema
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-31002: Peter Nguyễn Vũ Hoàng de STAR Labs
SMB
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app malintencionada pueda ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de condición de carrera mejorando el bloqueo.
CVE-2021-30868: Peter Nguyen Vu Hoang de STAR Labs
SoftwareUpdate
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app creada con fines malintencionados podía obtener acceso a elementos del llavero de un usuario.
Descripción: Se mejoró la lógica de permisos para solucionar el problema.
CVE-2021-30912: Kirin (@Pwnrin) y chenyuwang (@mzzzz__) de Tencent Security Xuanwu Lab
SoftwareUpdate
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una app sin privilegios podía editar variables NVRAM.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30913: Kirin (@Pwnrin) y chenyuwang (@mzzzz__) de Tencent Security Xuanwu Lab
UIKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Una persona con acceso físico a un dispositivo podía determinar las características de la contraseña de un usuario en un campo de entrada de texto protegido.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30915: Kostas Angelopoulos
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: La desactivación de Bloquear todo el contenido remoto no se aplicaba a todos los tipos de contenido remoto.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-31005: Jonathan Austin de Wells Fargo, Attila Soki
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código.
Descripción: Se solucionó un problema de confusión de tipo mejorando el manejo de la memoria.
CVE-2021-31008
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.
Descripción: Existía un problema en la especificación de la API de temporización de recursos. Se actualizó la especificación y se implementó la especificación actualizada.
CVE-2021-30897: Un investigador anónimo
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Visitar un sitio web creado con fines malintencionados podía revelar el historial de navegación del usuario.
Descripción: Para solucionar este problema, se implementaron restricciones adicionales en la composición de CSS.
CVE-2021-30884: Un investigador anónimo
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.
CVE-2021-30818: Amar Menezes (@amarekano) de Zon8Research
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de un archivo de audio creado con fines malintencionados podía revelar memoria restringida.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2021-30836: Peter Nguyen Vu Hoang de STAR Labs
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30846: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se solucionaron varios problemas de daños en la memoria mejorando el manejo de la memoria.
CVE-2021-30849: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código.
Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.
CVE-2021-30848: Sergei Glazunov de Google Project Zero
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar la ejecución de código.
Descripción: Se solucionó un problema de vulnerabilidad de daños en la memoria mejorando el bloqueo.
CVE-2021-30851: Samuel Groß de Google Project Zero
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró la administración de la memoria para solucionar un problema de uso después de liberación.
CVE-2021-30809: Un investigador anónimo
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante en una posición de red privilegiada podía omitir HSTS.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30823: David Gullasch de Recurity Labs
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: El procesamiento de contenido web creado con fines malintencionados podía inesperadamente dejar de aplicar las políticas de seguridad del contenido.
Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.
CVE-2021-30887: Narendra Bhati (@imnarendrabhati) de Suma Soft Pvt. Ltd.
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un sitio web creado con fines malintencionados en el que se usaban informes de las políticas de seguridad del contenido podía filtrar información mediante redireccionamiento.
Descripción: Se solucionó un problema de filtrado de información.
CVE-2021-30888: Prakash (@1lastBr3ath)
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario
Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.
CVE-2021-30889: Chijin Zhou de ShuiMuYuLin Ltd y Tsinghua wingtecher lab
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app creada con fines malintencionados pueda omitir las comprobaciones de Gatekeeper
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30861: Wojciech Reguła (@_r3ggi) y Ryan Pickren (ryanpickren.com)
WebKit
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados ocasione un ataque de scripts de sitios universal
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30890: Un investigador anónimo
WebRTC
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante podía rastrear a los usuarios a través de sus direcciones IP.
Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.
CVE-2021-30930: Oguz Kırat, Matthias Keller (m-keller.com)
Windows Server
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Un atacante local podía ver el escritorio del usuario que inició sesión anteriormente desde la pantalla de cambio rápido de usuario.
Descripción: Se solucionó un problema de autenticación mejorando la administración de estados.
CVE-2021-30908: ASentientBot
xar
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Abrir un archivo creado con fines malintencionados podía permitir que un atacante escribiera archivos arbitrarios.
Descripción: Para solucionar este problema, se mejoraron las comprobaciones.
CVE-2021-30833: Richard Warren de NCC Group
zsh
Disponible para Mac Pro (2013 y versiones posteriores), MacBook Air (principios de 2015 y versiones posteriores), MacBook Pro (principios de 2015 y versiones posteriores), Mac mini (finales de 2014 y versiones posteriores), iMac (finales de 2015 y versiones posteriores), MacBook (principios de 2016 y versiones posteriores) y iMac Pro (2017 y versiones posteriores)
Impacto: Es posible que una app creada con fines malintencionados pueda modificar partes protegidas del sistema de archivos
Descripción: Se agregaron restricciones adicionales para solucionar un problema de permisos heredados.
CVE-2021-30892: Jonathan Bar Or de Microsoft
Otros agradecimientos
APFS
Nos gustaría darle las gracias a Koh M. Nakagawa de FFRI Security, Inc. por su ayuda.
AppleScript
Nos gustaría darle las gracias a Jeremy Brown por su ayuda.
App Support
Nos gustaría darle las gracias a un investigador anónimo, 漂亮鼠 de 赛博回忆录 por su ayuda.
Bluetooth
Nos gustaría darle las gracias a say2 de ENKI por su ayuda.
bootp
Nos gustaría darle las gracias a Alexander Burke (alexburke.ca) por su ayuda.
CUPS
Nos gustaría darle las gracias a Nathan Nye de WhiteBeam Security por su ayuda.
iCloud
Nos gustaría darle las gracias a Ryan Pickren (ryanpickren.com) por su ayuda.
Kernel
Nos gustaría darles las gracias a Anthony Steinhauser del proyecto Safeside de Google y Joshua Baums de Informatik Baums por su ayuda.
Nos gustaría darles las gracias a Fabian Ising y Damian Poddebniak de la Universidad de Ciencias Aplicadas de Münster por su ayuda.
Managed Configuration
Nos gustaría darle las gracias a Michal Moravec de Logicworks, s.r.o. por su ayuda.
Setup Assistant
Nos gustaría darle las gracias a David Schütz (@xdavidhu) por su ayuda.
smbx
Nos gustaría darle las gracias a Zhongcheng Li (CK01) por su ayuda.
UIKit
Nos gustaría darle las gracias a Jason Rendel de Diligent por su ayuda.
WebKit
Nos gustaría darles las gracias a Ivan Fratric de Google Project Zero, a Pavel Gromadchuk, a Nikhil Mittal (@c0d3G33k) y a Matthias Keller (m-keller.com) por su ayuda.
La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.