Apple publica actualizaciones para múltiples productos: OS X Server, OS X El Capitan, Safari, iOS …

Apple ha publicado actualizaciones para sus productos más destacados: una nueva versión de OS X (OS X El Capitan 10.11.4) y Security Update 2016-002, Safari 9.1, iOS 9.3, OS X Server 5.1, Xcode 7.3, tvOS 9.2 y watchOS 2.2. En total se solucionan 173 nuevas vulnerabilidades.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

Se ha publicado OS X El Capitan v10.11.4 y Security Update 2016-002 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 a v10.11.3; destinado a corregir 59 vulnerabilidades, la mayoría de ellas podrían llegar a permitir la ejecución de código arbitrario. Afectan a componentes importantes como AppleRAID, Bluetooth, FontParser, HTTPProtocol, Graphics Driver, IOGraphics, IOUSBFamily, Kernel, libxml2, OpenSSH, OpenSSL, QuickTime, Security, o Wi-Fi.

También ha publicado la versión OS X Server v5.1 (para OS X Yosemite 10.10.5 y posteriores). Se han solucionado cuatro vulnerabilidades que afectan a los componentes Server App, Web Server y Wiki Server. Con identificadores CVE-2016-1774, CVE-2016-1776, CVE-2016-1777 y CVE-2016-1787.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 9.1 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11.x. Se solucionan 12 vulnerabilidades relacionadas principalmente con problemas en WebKit (el motor de navegador de código abierto que es la base de Safari). Otros componentes afectados son libxml2, Safari Downloads, Safari Top Sites. Con identificadores CVE-2009-2197, CVE-2016-1762, CVE-2016-1771, CVE-2016-1772, CVE-2016-1778, CVE-2016-1779 , CVE-2016-1781 al CVE-2016-1786.

Por otra parte, iOS se actualiza a la versión 9.3 que incluye mejoras no relacionadas directamente con la seguridad y soluciona 38 nuevas vulnerabilidades. Gran parte de los fallos podrían permitir la ejecución de código arbitrario. Se ven afectados los componentes AppleUSBNetworking, FontParser, HTTPProtocol, IOHIDFamily, Kernel, libxml2, Messages, Profiles, Security, TrueTypeScaler, WebKit, WebKit History y WebKit Page Loading.

De forma similar, Apple publica WatchOS 2.2, destinada a su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan hasta 34 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución remota de código arbitrario.

Apple también ha publicado Xcode 7.3, el entorno de desarrollo de Apple, que corrige una vulnerabilidad en otool y dos vulnerabilidades en subversión (que se actualiza a la versión 1.7.22).

Por último, también ha publicado tvOS 9.2, el sistema operativo para Apple TV (de cuarta generación), que no solo incluye novedades y mejoras sino que además soluciona un total de 23 vulnerabilidades.

Más información:

About the security content of OS X El Capitan v10.11.4 and Security Update 2016-002

https://support.apple.com/es-es/HT206167

About the security content of OS X Server 5.1

https://support.apple.com/es-es/HT206173

About the security content of Safari 9.1

https://support.apple.com/es-es/HT206171

About the security content of iOS 9.3

https://support.apple.com/es-es/HT206166

About the security content of watchOS 2.2

https://support.apple.com/es-es/HT206168

About the security content of Xcode 7.3

https://support.apple.com/es-es/HT206172

About the security content of tvOS 9.2

https://support.apple.com/es-es/HT206169

                                                                                                  

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Actualización de múltiples productos Apple: iOS, OS X Server, OS X, Safari, iTunes, Mac EFI, Watch OS y Xcode

Apple ha publicado actualizaciones para múltiples productos. En esta ocasión incluye iOS 9.1, OS X Server v5.0.15, Safari 9.0.1, Xcode 7.1, Mac EFI Security Update 2015-002, iTunes 12.3.1, OS X El Capitan 10.11.1, Security Update 2015-007 para OS X y watchOS 2.0.1. En total se han solucionado 148 vulnerabilidades.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

iOS 9.1 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir mejoras y solución de problemas, está destinado a solucionar 49 nuevas vulnerabilidades. Los problemas corregidos están relacionados con múltiples componentes, incluyendo CoreGraphics, CoreText, FontParser, el controlador gráfico, el Kernel o WebKit entre otros.

Por otra parte, se ha publicado OS X El Capitan v10.11.1 y Security Update 2015-007 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan 10.11. Además de las obligadas mejoras y correcciones, se solucionan 60 nuevas vulnerabilidades. Afectan a múltiples y muy diversos componentes, que entre otros incluyen a Configd, Audio, CoreGraphics, CoreText, controladores gráficos, el kernel, OpenGL, OpenSSH, Sandbox y Security.

Las actualizaciones también incluyen a Safari, el popular navegador web de Apple, que se actualiza a la versión Safari 9.0.1 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11. Se solucionan nueve vulnerabilidades todas debidas a problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. La actualización a Safari 9.0.1 está incluida en OS X El Capitan v10.11.1.

De igual forma, también ha publicado la versión OS X Server v5.0.15 (para OS X Yosemite 10.10.5 y OS X El Capitan 10.11.1 o posteriores). Esta versión incluye la actualización de BIND a la versión 9.9.7-P3 (para evitar una vulnerabilidad de denegación de servicio) y la corrección a otra vulnerabilidad en Web Service.

De forma similar, Apple publica WatchOS 2.0.1, destinada a su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan hasta 14 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución remota de código arbitrario.

También se ha publicado iTunes 12.3.1 para Windows 7 (y posteriores), una versión menor que incluye la corrección de 12 vulnerabilidades.

Apple también ha publicado Xcode 7.1, el entorno de desarrollo de Apple, que corrige una vulnerabilidad en Swift.

Por último, Apple ha publicado la actualización Mac EFI Security Update 2015-002 que viene a solucionar una vulnerabilidad en EFI (Extensible Firmware Interface) el software de arranque del sistema (como la BIOS para el PC).

Más información:

About the security content of iOS 9.1

https://support.apple.com/es-es/HT205370

About the security content of Safari 9.0.1

https://support.apple.com/es-es/HT205377

About the security content of OS X El Capitan v10.11.1 and Security Update 2015-007

https://support.apple.com/es-es/HT205375

About the security content of OS X Server 5.0.15

https://support.apple.com/es-es/HT205376

About the security content of iTunes 12.3.1

https://support.apple.com/es-es/HT205372

About the security content of watchOS 2.0.1

https://support.apple.com/es-es/HT205378

About the security content of Xcode 7.1

https://support.apple.com/es-es/HT205379

About the security content of Mac EFI Security Update 2015-002

https://support.apple.com/es-es/HT205317

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Apple publica iOS 9 y actualizaciones para OS X Server, iTunes y xCode

Apple acaba de publicar iOS 9 una nueva versión del sistema operativo para sus dispositivos móviles (iPhone, iPad, iPod… ) que además de grandes novedades incluye mejoras y correcciones de múltiples vulnerabilidades. Además ha publicado las versiones actualizadas OS X Server 5.0.3, iTunes 12.3 y Xcode 7.0.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

iOS 9 es la nueva versión del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir múltiples novedades y mejoras (también en temas relacionados con la seguridad) además soluciona 101 nuevas vulnerabilidades. Los problemas corregidos incluyen al propio kernel, Mail, Safari, WebKit, etc… Una parte importante de los problemas podrían permitir a un atacante lograr ejecutar código arbitrario en los sistemas afectados.

Entre las novedades incluidas en iOS 9 relacionadas con seguridad cabe destacar la inclusión de una nueva interfaz para la autenticación de doble factor en iCloud, nuevas posibilidades para introducir un código de desbloqueo más largo o que Safari en iOS 9 dice adiós definitivamente a SSLv3.

También hay que destacar la actualización de OS X Server 5.0.3 que soluciona 20 nuevas vulnerabilidades en Apache, BIND, PostgreSQL y WikiServer. Apache se ha actualizado a la versión 2.4.16, BIND a la versión 9.9.7 y PostgreSQL a 9.3.9. Cabe señalar que coincidiendo con la publicación de esta nueva versión de OS X Server, se ha publicado la versión 9.9.8 de BIND, que corrige 4 nuevas vulnerabilidades. En este caso, no se puede culpar a Apple de no incluir esta nueva versión, ya que se han publicado ambas el mismo día. Si bien ISC por su parte recomienda el uso de la rama 9.10 ya que la rama 9.9 se encuentra ya bajo soporte extendido.

Por otra parte se ha publicado la versión 12.3 de iTunes que soluciona 66 vulnerabilidades, la mayor parte de ellas podrían permitir la ejecución de código arbitrario.

Por último, Apple también ha publicado Xcode 7.0, el entorno de desarrollo de Apple, que corrige 10 vulnerabilidades en DevTools, IDE Xcode Server y Subversion. Apple confirma la actualización de svn a la versión 1.7.20. Aunque la última versión oficial de la rama 1.7 distribuida por Apache es la 1.7.22.

Más información:

Novedades de iOS

http://www.apple.com/es/ios/whats-new/

Apple iOS 9: Security & Privacy Feature

https://medium.com/@FredericJacobs/apple-ios-9-security-privacy-features-8d82d9da10eb

About the security content of iOS 9

https://support.apple.com/es-es/HT205212

About the security content of OS X Server v5.0.3

https://support.apple.com/es-es/HT205219

About the security content of iTunes 12.3

https://support.apple.com/es-es/HT205221

About the security content of Xcode 7.0

https://support.apple.com/es-es/HT205217

Release Notes for BIND Version 9.9.8

ftp://ftp.isc.org/isc/bind9/9.9.8/RELEASE-NOTES.bind-9.9.8.html

                                                                                                  

Antonio Ropero

ropero@hispasec.com
Twitter: @aropero

Actualización de múltiples productos Apple: iOS, OS X Server, Safari y Yosemite

Apple ha publicado actualizaciones para múltiples productos. En esta ocasión incluye iOS 8.4.1 para sus dispositivos móviles (iPhone, iPad, iPod… ), OS X Server v4.1.5,  Safari y OS X Yosemite 10.10.5 y Security Update 2015-006.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

iOS 8.4.1 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir mejoras y solución de problemas, además soluciona 71 nuevas vulnerabilidades. Los problemas corregidos están relacionados con múltiples componentes, incluyendo Backup, ImageIO, Kernel, Libc, Libinfo, libxml2, Framework, Office Viewer, Safari, WebView y WebKit.

 

Por otra parte, se ha publicado OS X Yosemite v10.10.5 y Security Update 2015-006 para OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5 y OS X Yosemite v10.10 a v10.10.4, destinado a corregir hasta 135 nuevas vulnerabilidades. Afectan a múltiples y muy diversos componentes, que entre otros incluyen a apache, Bluetooth, curl, DiskImages, ImageIO, Kernel, Libc, Libinfo, libxml2, OpenSSH, OpenSSL, perl, PostgreSQL, python, QuickTime 7, Security, SMBClient o tcpdump.

Las actualizaciones también incluyen a Safari, el popular navegador web de Apple, que se actualiza a las versiones Safari 8.0.8, Safari 7.1.8 y Safari 6.2.8 para OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5 y OS X Yosemite v10.10.4. Se solucionan 27 vulnerabilidades principalmente por problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. La actualización a Safari 8.0.8 está incluida en OS X Yosemite v10.10.5.

De igual forma, también ha publicado la versión OS X Server v4.1.5 (para OS X Yosemite v10.10.5 y posteriores), para incluir una actualización de BIND (que se actualiza a la versión 9.9.7-P2) para evitar una vulnerabilidad de denegación de servicio (CVE-2015-5477).

Por último, señalar que también se ha publicado iTunes 12.2.2, una versión menor que no parece destinada a corregir problemas de seguridad. Sin embargo incluye mejoras de rendimiento y funcionalidad y se corrigen fallos no relacionados directamente con la seguridad.

Más información:

About the security content of iOS 8.4.1

https://support.apple.com/en-us/HT205030

About the security content of OS X Yosemite v10.10.5 and Security Update 2015-006

https://support.apple.com/en-us/HT205031

About the security content of Safari 8.0.8, Safari 7.1.8, and Safari 6.2.8

https://support.apple.com/en-us/HT205033

About the security content of OS X Server v4.1.5

https://support.apple.com/en-us/HT205032

iTunes 12.2.1

https://support.apple.com/kb/DL1814?locale=es_ES

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Actualización masiva de productos Apple: iOS, OS X, Safari…

Apple acaba de publicar actualizaciones para gran parte de sus productos. Como gran novedad destaca iOS 8, la nueva versión del sistema operativo para sus dispositivos móviles (iPhone, iPad, iPod… ). Pero además ha publicado las siguientes versiones actualizadas OS X Server 2.2.3, OS X Server 3.2.1, Safari 6.2, Safari 7.1, OS X Mavericks 10.9.5 y Security Update 2014-004, Xcode 6.0.1 y Apple TV 7.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

iOS 8 es la nueva versión del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir cientos de novedades y mejoras (también en temas relacionados con la seguridad) además soluciona 56 nuevas vulnerabilidades. Los problemas corregidos van desde el propio kernel hasta las cuentas de usuario, WiFi, libro de direcciones, instalación de Apps, Bluetooth, CoreGraphins, Mail, etc… Una parte importante de los problemas podrían permitir a un atacante lograr ejecutar código arbitrario en los sistemas afectados.

También hay que destacar las actualizaciones para OS X que incluyen las versiones OS Server 2.2.3, OS X Server 3.2.1 y OS X Mavericks 10.9.5. La familia de servidores se ven afectados por vulnerabilidades en CoreCollaboration. Tanto OS X Server 2.2.3 como OS X Server3.2.1 solucionan una inyección SQL en el servidor Wiki, Además OS X Server 3.2.1 soluciona un cross-site scripting en el servidor Xcode y siete vulnerabilidades en PostgreSQL, la más grave de ellas podría permitir la ejecución remota de código arbitrario.

Por otra parte, también ha publicado OS X Mavericks v10.9.5 y Security Update 2014-004, destinado a corregir hasta 44 nuevas vulnerabilidades. Afectan a apache_mod_php, Bluetooth, CoreGraphics, Foundation, Intel Graphics Driver, IOAcceleratorFamily, IOHIDFamily, IOKit, Kernel, Libnotify, OpenSSL, QT Media Foundation y ruby. Una parte importante de estos problemas podrían permitir la ejecución remota de código arbitrario. Además OS X Mavericks v10.9.5 incluye la nueva versión Safari 7.0.6.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a lasversiones 6.2 y 7.1 para OS X Mountain Lion v10.8.5 y OS X Mavericks v10.9.5. Se solucionan 9 vulnerabilidades, la mayoría de ellas relacionadas con problemas de corrupción de memoria en WebKit, el motor de navegador de código abierto que es la base de Safari. Y podrían ser aprovechadas por un atacante remoto para provocar condiciones de denegación de servicio o ejecutar código arbitrario al visitar una página web específicamente creada.

Por último, Apple también ha publicado Apple TV 7 que soluciona 37 nuevas vulnerabilidades y Xcode 6.0.1, el entorno de desarrollo de Apple, que corrige una vulnerabilidad en subversión.

Más información:

iOS 8

http://support.apple.com/kb/DL1758

About the security content of iOS 8

http://support.apple.com/kb/HT6441

About the security content of OS X Server v2.2.3

http://support.apple.com/kb/HT6449

About the security content of OS X Server v3.2.1

http://support.apple.com/kb/HT6448

About the security content of Safari 6.2 and Safari 7.1

http://support.apple.com/kb/HT6440

About the security content of OS X Mavericks v10.9.5 and Security Update 2014-004

http://support.apple.com/kb/HT6443

About the security content of Apple TV 7

http://support.apple.com/kb/HT6442

About the security content of Xcode 6.0.1

http://support.apple.com/kb/HT6444

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Actualizaciones de Apple para Safari y OS X Mavericks

Continúan las actualizaciones de productos de Apple. Junto con la última actualización importante para iOS, también se han publicado nuevas actualizaciones para Safari y OS X.

La primera de las actualizaciones de seguridad publicadas es para su navegador Safari (versiónes 6.1.5 y 7.0.5) que solventa diez vulnerabilidades de corrupción de memoria en WebKit, que podrían ser aprovechadas por un atacante remoto para provocar condiciones de denegación de servicio o ejecutar código arbitrario. Otro problema, podría permitir descubrir el contenido de archivos locales si se arrastrar una URL de un sitio web malicioso a otra ventana. Por último, una vulnerabilidad que podría permitir falsificar la el nombre de dominio en la barra de direcciones.

Afecta a las versiones para OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5 y OS X Mavericks v10.9.3. Los CVE asociados son CVE-2014-1325, CVE-2014-1340, CVE-2014-1382, CVE-2014-1369, CVE-2014-1345 y CVE-2014-1362 al CVE-2014-1368.

Se recomienda actualizar a las versiones 6.1.5 o 7.0.5 de Safari para Mac OS X disponible a través de las actualizaciones automáticas de Apple, o para su descarga manual desde:

http://support.apple.com/downloads/#safari

Por otra parte, Apple publica la actualización "OS X Mavericks v10.9.4 and Security Update 2014-003" destinada a corregir un total de 19 vulnerabilidades en su familia de sistemas operativos OS X (Lion, Mountain Lion y Mavericks).

Se han solucionado vulnerabilidades en copyfile, curl, Dock, Graphics Driver, iBooks Commerce, Intel Graphics Driver, Intel Compute, IOAcceleratorFamily, IOGraphicsFamily, IOReporting, launchd, Keychain, Secure Transport y Thunderbolt. También se ha actualizado la lista de certificados raíz, que puede visualizarse en http://support.apple.com/kb/HT6005.

La actualización está disponible a través de "Actualización de Software" en "Preferencias del Sistema" o desde el sitio web de descargas de Apple:

http://www.apple.com/support/downloads/

Más información:

About the security content of Safari 6.1.5 and Safari 7.0.5

http://support.apple.com/kb/HT6293

OS X Mavericks: List of available trusted root certificates

http://support.apple.com/kb/HT6005

una-al-dia (29/06/2014) Apple publica iOS 7.1.2 y soluciona 42 vulnerabilidades

http://unaaldia.hispasec.com/2014/06/apple-publica-ios-712-y-soluciona-42.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Apple publica OS X Server 3.1.2 por vulnerabilidad en Ruby

Apple ha publicado la actualización OS X Server 3.1.2 para OS X Mavericks v10.9.3 o posterior que podría permitir la ejecución de código arbitrario.

El problema (con CVE-2013-4164) reside en un desbordamiento de búfer en Ruby cuando convierte una cadena a un valor en coma flotante. Un atacante podría enviar una petición específicamente construida al administrador de perfiles o a un script Ruby, que podría dar lugar a la ejecución remota de código.

Apple ha publicado la versión OS X Server 3.1.2 que soluciona este problema mediante una validación adicional de los valores en coma flotante.

Más información:

About the security content of OS X Server 3.1.2

http://support.apple.com/kb/HT6248

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero