Acerca del contenido de seguridad de macOS Ventura 13.6.8

En este documento, se describe el contenido de seguridad de macOS Ventura 13.6.8.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

A través de la seguridad de Apple, se documentan vulnerabilidades de referencia por ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

macOS Ventura 13.6.8

APFS

Disponible para macOS Ventura

Impacto: Una app creada con fines malintencionados podía omitir las preferencias de privacidad

Descripción: El problema se solucionó con una restricción mejorada del acceso al contenedor de datos.

CVE-2024-40783: Csaba Fitzl (@theevilbit) de Kandji

Apple Neural Engine

Disponible para macOS Ventura

Impacto: Es posible que una app pueda ejecutar código arbitrario con privilegios del kernel.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-27826: Minghao Lin, y Ye Zhang (@VAR10CK) de Baidu Security

AppleMobileFileIntegrity

Disponible para macOS Ventura

Impacto: Es posible que una app pueda omitir las preferencias de privacidad.

Descripción: Se solucionó un problema de reducción de la versión mediante restricciones adicionales de firma de código.

CVE-2024-40774: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Disponible para macOS Ventura

Impacto: Es posible que una app pueda divulgar información confidencial del usuario

Descripción: Se solucionó un problema de reducción de la versión mediante restricciones adicionales de firma de código.

CVE-2024-40775: Mickey Jin (@patch1t)

AppleVA

Disponible para macOS Ventura

Impacto: El procesamiento de un archivo creado con fines malintencionados podía ocasionar una denegación de servicio o revelar el contenido de la memoria.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2024-27877: Michael DePlante (@izobashi) del programa Zero Day Initiative de Trend Micro

CoreGraphics

Disponible para macOS Ventura

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-40799: D4m0n

CoreMedia

Disponible para macOS Ventura

Impacto: Es posible que el procesamiento de un archivo de video creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.

CVE-2024-27873: Amir Bazine y Karsten König de CrowdStrike Counter Adversary Operations

curl

Disponible para macOS Ventura

Impacto: Varios problemas en curl.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-2004

CVE-2024-2379

CVE-2024-2398

CVE-2024-2466

DesktopServices

Disponible para macOS Ventura

Impacto: Una app podía sobrescribir archivos arbitrarios.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40827: Un investigador anónimo

dyld

Disponible para macOS Ventura

Impacto: Un atacante malintencionado con una función de lectura y escritura arbitraria podía omitir la autenticación del puntero.

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2024-40815: w0wbox

ImageIO

Disponible para macOS Ventura

Impacto: El procesamiento de una imagen podía provocar una denegación de servicio

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Disponible para macOS Ventura

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-40806: Yisumi

ImageIO

Disponible para macOS Ventura

Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.

Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de enteros.

CVE-2024-40784: Junsung Lee en colaboración con el programa Zero Day Initiative de Trend Micro y Gandalf4a

Kernel

Disponible para macOS Ventura

Impacto: Es posible que un atacante local pueda provocar un apagado inesperado del sistema.

Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.

CVE-2024-40816: sqrtpwn

Kernel

Disponible para macOS Ventura

Impacto: Es posible que un atacante local pueda provocar un apagado inesperado del sistema.

Descripción: se mejoró el manejo de la memoria para solucionar un problema de confusión de tipo.

CVE-2024-40788: Minghao Lin y Jiaxun Zhu de Zhejiang University

Keychain Access

Disponible para macOS Ventura

Impacto: Un atacante podía provocar el cierre inesperado de la app.

Descripción: Para solucionar un problema de tipo confusión, se mejoraron las comprobaciones.

CVE-2024-40803: Patrick Wardle de DoubleYou y Objective-See Foundation

NetworkExtension

Disponible para macOS Ventura

Impacto: Es posible que la navegación privada filtre parte del historial de navegación.

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-40796: Adam M.

OpenSSH

Disponible para macOS Ventura

Impacto: Es posible que un atacante remoto pueda ocasionar la ejecución de código arbitrario

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-6387

PackageKit

Disponible para macOS Ventura

Impacto: Es posible que un atacante local pueda aumentar sus privilegios

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40781: Mickey Jin (@patch1t)

CVE-2024-40802: Mickey Jin (@patch1t)

PackageKit

Disponible para macOS Ventura

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40823: Zhongquan Li (@Guluisacat) de Dawn Security Lab de JingDong

PackageKit

Disponible para macOS Ventura

Impacto: Una app podía modificar partes protegidas del sistema de archivos.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2024-27882: Mickey Jin (@patch1t)

CVE-2024-27883: Csaba Fitzl (@theevilbit) de Kandji y Mickey Jin (@patch1t)

Restore Framework

Disponible para macOS Ventura

Impacto: Es posible que una app pueda modificar partes protegidas del sistema de archivos

Descripción: Se solucionó un problema de validación de entradas mejorando la validación de entradas.

CVE-2024-40800: Claudio Bozzato y Francesco Benvenuto de Cisco Talos.

Safari

Disponible para macOS Ventura

Impacto: Visitar un sitio web con contenido malicioso podía provocar una suplantación en la interfaz del usuario.

Descripción: Este problema se solucionó mejorando el manejo de IU.

CVE-2024-40817: Yadhu Krishna M y Narendra Bhati, gerente de Cyber Security en Suma Soft Pvt. Ltd, Pune, India

Scripting Bridge

Disponible para macOS Ventura

Impacto: Es posible que una app acceda a información sobre los contactos de un usuario

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-27881: Kirin (@Pwnrin)

Security

Disponible para macOS Ventura

Impacto: Las extensiones de apps de proveedores independientes podían no recibir las restricciones correctas de la zona protegida.

Descripción: Para solucionar un problema de acceso, se agregaron restricciones de la zona protegida.

CVE-2024-40821: Joshua Jones

Security

Disponible para macOS Ventura

Impacto: Es posible que una app pueda leer el historial de navegación de Safari.

Descripción: Para solucionar este problema, se mejoró la redacción de información confidencial.

CVE-2024-40798: Adam M.

Shortcuts

Disponible para macOS Ventura

Impacto: Es posible que un acceso directo pueda usar los datos confidenciales con determinadas acciones sin solicitarle al usuario

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40833: Un investigador anónimo

CVE-2024-40807: Un investigador anónimo

CVE-2024-40835: Un investigador anónimo

Shortcuts

Disponible para macOS Ventura

Impacto: Es posible que un atajo pueda omitir las configuraciones confidenciales de la app Atajos.

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2024-40834: Marcio Almeida de Tanto Security

Shortcuts

Disponible para macOS Ventura

Impacto: Una función rápida podía omitir los requisitos de acceso a Internet.

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2024-40787: Un investigador anónimo

Shortcuts

Disponible para macOS Ventura

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.

CVE-2024-40793: Kirin (@Pwnrin)

Shortcuts

Disponible para macOS Ventura

Impacto: Una función rápida podía omitir los requisitos de acceso a Internet.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2024-40809: Un investigador anónimo

CVE-2024-40812: Un investigador anónimo

Siri

Disponible para macOS Ventura

Impacto: Un atacante con acceso físico podía usar Siri para acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se restringieron las opciones que se ofrecían en un dispositivo bloqueado.

CVE-2024-40818: Bistrit Dahal y Srijan Poudel

Siri

Disponible para macOS Ventura

Impacto: Es posible que un atacante pueda visualizar la información confidencial de otro usuario.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2024-40786: Bistrit Dahal

Siri

Disponible para macOS Ventura

Impacto: Es posible que una app de la zona protegida pueda acceder a información confidencial del usuario en los registros del sistema.

Descripción: Para solucionar un problema de privacidad, se mejoró la redacción de datos privados para las entradas de registro.

CVE-2024-44205: Jiahui Hu (梅零落) y Meng Zhang (鲸落) de NorthSea

StorageKit

Disponible para macOS Ventura

Impacto: Es posible que una app creada con fines malintencionados pueda obtener privilegios de root.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40828: Mickey Jin (@patch1t)

Time Zone

Disponible para macOS Ventura

Impacto: Es posible que un atacante pueda leer información que le pertenece a otro usuario.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2024-23261: Matthew Loewen

VoiceOver

Disponible para macOS Ventura

Impacto: Es posible que un usuario pueda ver contenido restringido desde la pantalla de bloqueo

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2024-40829: Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal, India

Otros agradecimientos

Image Capture

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Shortcuts

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.