Actualizaciones para múltiples productos Apple

Apple ha publicado 7 boletines de seguridad que solucionan vulnerabilidades en los productos iOS, macOS, watchOS, tvOS, Safari, e iTunes e iCloud para Windows. Entre todos los productos se corrigen 109 fallos de seguridad.

Los boletines publicados con las actualizaciones y problemas solucionados se resumen a continuación.

El boletín para el sistema operativo para dispositivos móviles de Apple (iPad, iPhone, iPod, etc.), iOS 11.4.1, resuelve 22 vulnerabilidades relacionadas con múltiples componentes, entre los que se incluyen 'Wi-Fi', 'Emoji', el kernel y 'WebKit' entre otros. Uno de los fallos permitiría a una web maliciosa suplantar la URL mostrada para hacer creer a los usuarios que se encuentran en un sitio web legítimo (CVE-2018-4277, también presente en macOS, watchOS y tvOs).

macOS High Sierra 10.13.6 y los Security Update 2018-004 para Sierra y El Capitán. En este caso se solucionan 11 vulnerabilidades que afectan a múltiples componentes, que entre otros incluyen a 'APFS', 'ATS', 'IOGraphics', 'CFNetwork', 'CoreCrypto' y el kernel. Tres de estas vulnerabilidades podrían permitir elevar privilegios (CVE-2018-4280 y CVE-2018-4285) y/o ejecutar código arbitrario con privilegios de 'kernel' (CVE-2018-4268).

Safari 11.1.2 cuenta con otro boletín que soluciona 16 vulnerabilidades debidas, en su mayoría, a problemas en 'WebKit', el motor de código abierto que es la base de este navegador. También varios de los errores corregidos permitirían que una web maliciosa suplantase la URL mostrada al usuarios para hacerle creer que se encuentran en un sitio web legítimo (CVE-2018-4260, CVE-2018-4274 y CVE-2018-4279).

El boletín para el sistema operativo de los relojes inteligentes de Apple, watchOS 4.3.2, soluciona 14 vulnerabilidades entre las que también se encuentran algunas que podrían permitir la ejecución de código arbitrario (CVE-2018-4262, CVE-2018-4264, CVE-2018-4272 y CVE-2018-4284) y la elevación de privilegios (CVE-2018-4280).

tvOS, el sistema operativo de los televisores de la marca, se actualiza a la versión 11.4.1, donde se corrigen 18 vulnerabilidades en múltiples componentes. Ocho de ellas podrían permitir la ejecución remota de código (del CVE-2018-4261 al CVE-2018-4265, CVE-2018-4267, CVE-2018-4272, CVE-2018-4284) y otra elevar privilegios en el sistema (CVE-2018-4280).

Las versiones iTunes 12.8 e iCould 7.6 para Windows corrigen 14 vulnerabilidades cada una, algunas también de gravedad alta.

Todas estas versiones que corrigen los problemas de seguridad publicados en los boletines se encuentran disponibles en la página oficial de Apple, así como a través de los canales habituales de actualización.

Juan José Ruiz
jruiz @ hispasec.com

Más información:

iOS 11.4.1:

https://support.apple.com/kb/HT208938

macOS High Sierra 10.13.6 y Security Update 2018-004 para Sierra y El Capitán:

https://support.apple.com/kb/HT208937

Safari 11.1.2:

https://support.apple.com/kb/HT208934

watchOS 4.3.2:

https://support.apple.com/kb/HT208935

tvOS 11.4.1:

https://support.apple.com/kb/HT208936

iTunes 12.8 para Windows:

https://support.apple.com/kb/HT208933

iCloud 7.6 para Windows:

https://support.apple.com/kb/HT208932

Apple parchea KRACK entre otras vulnerabilidades en sus últimos boletines

Apple ha publicado siete boletines de seguridad que solucionan fallos para sus productos iOS, watchOS, macOS, tvOS, Safari y iTunes y iCloud para Windows. En total se corrigen 238 fallos de seguridad entre los que se encuentra KRACK.

Apple ha aprovechado el día de Halloween para lanzar su nueva actualización de seguridad que da solución a KRACK, una grave vulnerabilidad en WPA/WPA2 de la que ya hablamos en esta entrada. El fallo ha sido corregido de todos los dispositivos de Apple con soporte, entre los que se encuentran iOS, macOS High Sierra, tvOS y watchOS. De esta manera, la empresa de Cupertino se ha adelantado a Google en ofrecer una solución a este grave fallo. Se espera un parche en Android el día 6 de noviembre, si todo va según lo esperado.

El sistema que más cambios ha recibido ha sido macOS Sierra 10.13.1, con 148 fallos solucionados. La mayoría de los errores pertenecen a tcpdump, con 90 de los fallos. El resto de componentes afectados, entre los que se encuentran Audio, CFString, fsck_msdos, ImageIO, libarchive, Open Scripting Architecture, Quick Look, QuickTime, HFS, Remote Management y Sandbox, permitían la ejecución de código aleatorio y acceso a memoria restringida. Este último, Sandbox, hacía posible además la ejecución con privilegios del sistema. Otros 12 errores pertenecen a Apache, y otros 11 al Kernel, siendo la mayoría de lectura de áreas de memoria restringida y de ejecución de código arbitrario. APFS vuelve a estar en el ojo de mira, permitiendo además de ejecución aleatoria de código, el descifrado de disco con un conector manipulado ( CVE-2017-13786 ).

iOS 11.1 soluciona 23 errores, de los cuales 14 afectan a WebKit, y habiendo sido la mayoría descubiertos por Ivan Fratric de Google Project Zero. Estos errores permitían la ejecución de código arbitrario en el procesado de una web especialmente manipulada. Estos mismos errores, se vuelven a ver en Safari, tvOS, y iCloud y iTunes para Windows. El resto de componentes afectados han sido CoreText, Kernel, Messages, Siri, StreamingZip y UIKit. En su mayoría son errores que afectan a la privacidad del usuario. Destaca el fallo en el kernel ( CVE-2017-13799 ), que permite la ejecución de código arbitrario con los permisos del kernel, y que afecta también a macOS Sierra, tvOS y watchOS. El fallo en StreamingZip permitiría además acceder a zonas restringidas del sistema de archivos.

watchOS 4.1 sólo ha tenido que parchear 4 fallos, que pertenecen a CoreText, Kernel, StreamingZip y Wi-Fi; siendo este último KRACK, del que hablamos al principio. Estos mismos fallos pueden verse en tvOS y iOS. Además, salvo el de CoreText, los otros 3 también están en macOS. tvOS 11.1 tiene los mismos 4 errores parcheados, además de los 14 de WebKit de los que se habló en el apartado anterior.

Safari 11.0.1, iTunes 12.7.1 para Windows y iCloud para Windows 7.1, poseen los 3 los mismos 14 fallos de WebKit, al encontrarse todos basados en este. Ni iTunes ni iCloud tienen fallos adicionales, siendo Safari el único que cuenta con parches para el mismo, con los CVE-2017-13790 y CVE-2017-13789, que permitían hacer spoofing a la barra de direcciones.

Juan José Oyague

joyague@hispasec.com

Más información:

Security content of macOS High Sierra 10.13.1
https://support.apple.com/es-es/HT208221

About the security content of iOS 11.1
https://support.apple.com/es-es/HT208222

Acerca del contenido de seguridad de watchOS 4.1
https://support.apple.com/es-es/HT208220

Acerca del contenido de seguridad de tvOS 11.1
https://support.apple.com/es-es/HT208219

About the security content of Safari 11.0.1
https://support.apple.com/es-es/HT208223

Acerca del contenido de seguridad de iTunes 12.7.1 para Windows
https://support.apple.com/es-es/HT208224

Acerca del contenido de seguridad de iCloud para Windows
https://support.apple.com/es-es/HT208225

Apple publica actualizaciones para iOS, macOS, Safari, watchOS, tvOS, iTunes e iCloud

Apple ha anunciado la actualización de productos sus productos más destacados, incluyendo la publicación de macOS Sierra 10.12.3, iOS 10.2.1, Safari 10.0.3, watchOS 3.13, tvOS 10.1.1, iTunes para Windows 12.5.5 e iCloud para Windows 6.1.1. Estas nuevas versiones solucionan un total de 55 vulnerabilidades.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

Se ha publicado macOS (anteriormente OS X) Sierra 10.12.3, destinada a corregir 55 nuevas vulnerabilidades en macOS Sierra. Las vulnerabilidades corregidas afectan a múltiples componentes que incluyen apache_mod_php, Bluetooth, Graphics Drivers, Help Viewer, IOAudioFamily, Kernel, libarchive y Vim.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 10.0.3 para OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12.3. Se solucionan 12 vulnerabilidades, 11 de ellas relacionadas con problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. Y podrían ser aprovechadas por un atacante remoto para obtener información sensible o ejecutar código arbitrario al visitar una página web específicamente creada.

El contenido de seguridad de Safari 10.0.3 se encuentra incluido en macOS Sierra 10.12.3.

iOS 10.2.1 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que está destinada a solucionar 17 nuevas vulnerabilidades. Los problemas corregidos están relacionados con diferentes componentes, como Auto Unlock, Contacts, Kernel, libarchive, WebKit y WiFi. Varios de los problemas podrían permitir la ejecución remota de código arbitrario.

De forma similar, Apple publica WatchOS 3.1.3, destinada a todos los modelos de su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan 33 vulnerabilidades, curiosamente representa el producto para el que más vulnerabilidades se corrigen. Los problemas corregidos afectan a los componentes Accounts, Audio, Auto Unlock, CoreFoundation, CoreGraphics, CoreMedia Playback, CoreText, Disk Images, FontParser, ICU, ImageIO, IOHIDFamily, IOKit, Kernel, libarchive, Profiles, Security, syslog y WebKit.

También ha publicado tvOS 10.1.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona 12 vulnerabilidades en componentes como el Kernel, libarchive y WebKit.

También se ha publicado iCloud para Windows 6.1.1 destinado a corregir cuatro vulnerabilidades en WebKit.

Por último, iTunes para Windows también se ve afectado por cuatro de esas mismas vulnerabilidades en WebKit por lo que se actualiza a la versión 12.5.5.

Más información:

About the security content of macOS Sierra 10.12.3

https://support.apple.com/es-es/HT207483

About the security content of iOS 10.2.1

https://support.apple.com/es-es/HT207482

About the security content of Safari 10.0.3

https://support.apple.com/es-es/HT207484

About the security content of tvOS 10.1.1

https://support.apple.com/es-es/HT207487

About the security content of tvOS 10.1.1

https://support.apple.com/es-es/HT207485

About the security content of iCloud for Windows 6.1.1

https://support.apple.com/es-es/HT207481

About the security content of iTunes 12.5.5 for Windows

https://support.apple.com/en-us/HT207486

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Apple publica nuevas versiones de iOS, watchOS y tvOS

Apple ha publicado una nueva versiones de varios sus sistemas como iOS 10.2, wachOS 3.1.1 y tvOS 10.1 destinadas a solucionar un total de 15 vulnerabilidades, las más graves podrían permitir la ejecución remota de código arbitrario.

iOS 10.2 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir mejoras y solución de problemas, está destinado a solucionar 12 nuevas vulnerabilidades. Los problemas corregidos están relacionados con diferentes componentes, como Accessibility, Accounts, Find My iPhone, Graphics Driver, Image Capture, Local Authentication, Mail, Media Player, Profiles y SpringBoard. Varios de los problemas podrían permitir la ejecución de código arbitrario o acceder al dispositivo evitando la pantalla de bloqueo.

De forma similar, Apple publica WatchOS 3.1.1, destinada a todos los modelos de su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan dos vulnerabilidades. Los problemas corregidos afectan a los componentes Accounts y Profiles. La primera consiste en que no se reinicia la configuración de autorizaciones tras la desinstalación de aplicaciones y la segunda, con CVE-2016-7626, podría permitir la ejecución de código arbitrario.

Por último, también ha publicado tvOS 10.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona una vulnerabilidad, con CVE-2016-7626, en Profiles que podría permitir la ejecución de código arbitrario.

Más información:

About the security content of iOS 10.2

https://support.apple.com/en-us/HT207422

About the security content of watchOS 3.1.1

https://support.apple.com/en-us/HT207426

About the security content of tvOS 10.1

https://support.apple.com/en-us/HT207425

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Apple publica actualizaciones para múltiples productos: OS X El Capitan, Safari, iOS, watchOS, iTunes y tvOS

Apple ha publicado actualizaciones para sus productos más destacados: una nueva versión de OS X (OS X El Capitan 10.11.6) y Security Update 2016-004, iOS 9.3.3, Safari 9.1.2, tvOS 9.2.2, iTunes 12.4.2 y watchOS 2.2.2. En total se solucionan 79 nuevas vulnerabilidades (aunque muchas de ellas se presentan en múltiples sistemas).

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

Se ha publicado OS X El Capitan v10.11.6 y Security Update 2016-004 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 y posteriores; destinado a corregir 60 vulnerabilidades, la mayoría de ellas podrían llegar a permitir la ejecución de código arbitrario. Afectan a componentes tan importantes como apache_mod_php, Audio, bsdiff, CFNetwork, CoreGraphics, FaceTime, Graphics Drivers, ImageIO, Intel Graphics Driver, IOHIDFamily, IOSurface, Kernel, libc++abi, libexpat, LibreSSL, libxml2, libxslt, Login Window, OpenSSL, QuickTime, Safari Login AutoFill y Sandbox Profiles. OS X El Capitan v10.11.6 también incluye el contenido de seguridad de Safari 9.1.2.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 9.1.2 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11.6. Se solucionan 12 vulnerabilidades relacionadas principalmente con problemas en WebKit (el motor de navegador de código abierto que es la base de Safari). Con identificadores CVE-2016-4583 al CVE-2016-4586, CVE-2016-4589 al CVE-2016-4592, CVE-2016-4622 al CVE-2016-4624 y CVE-2016-4651.

Por otra parte, iOS se actualiza a la versión 9.3.3 que soluciona 43 nuevas vulnerabilidades. Gran parte de los fallos podrían permitir la ejecución de código arbitrario. Se ven afectados los componentes Calendar, CoreGraphics, FaceTime, ImageIO, IOAcceleratorFamily, IOHIDFamily, Kernel, libxml2, libxslt, Safari, Sandbox Profiles, Siri Contacts, Web Media, WebKit, WebKit JavaScript Bindings y WebKit Page Loading.

De forma similar, Apple publica WatchOS 2.2.2, destinada a su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan hasta 26 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución remota de código arbitrario. Los problemas corregidos afectan a los componentes CoreGraphics, ImageIO, IOAcceleratorFamily, IOHIDFamily, Kernel, libxml2, libxslt y Sandbox Profiles.

Apple también ha publicado iTunes 12.4.2 para Windows 7 (y posteriores) que corrige 15 vulnerabilidades en las librerías libxml2 y libxslt.

Por último, también ha publicado tvOS 9.2.2, el sistema operativo para Apple TV (de cuarta generación), que soluciona un total de 37 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución de código arbitrario. Se ven afectados los componentes: CoreGraphics, ImageIO, ImageIO, IOAcceleratorFamily, IOHIDFamily, Kernel, libxml2, libxslt, Sandbox Profiles, WebKit y WebKit Page Loading.

Más información:

About the security content of OS X El Capitan v10.11.6 and Security Update 2016-004

https://support.apple.com/en-us/HT206903

About the security content of Safari 9.1.2

https://support.apple.com/en-us/HT206900

About the security content of iOS 9.3.3

https://support.apple.com/en-us/HT206902

About the security content of watchOS 2.2.2

https://support.apple.com/en-us/HT206904

About the security content of iTunes 12.4.2 for Windows

https://support.apple.com/en-us/HT206901

About the security content of tvOS 9.2.2

https://support.apple.com/en-us/HT206905

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Apple publica actualizaciones para múltiples productos: OS X El Capitan, Safari, iOS, watchOS, iTunes y tvOS

Apple ha publicado actualizaciones para sus productos más destacados: una nueva versión de OS X (OS X El Capitan 10.11.5) y Security Update 2016-003, iOS 9.3.2, Safari 9.1.1, iOS 9.3.2, tvOS 9.2.1, iTunes 12.4 y watchOS 2.2.1. En total se solucionan 77 nuevas vulnerabilidades (aunque muchas de ellas se presentan en múltiples sistemas).

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

Se ha publicado OS X El Capitan v10.11.5 y Security Update 2016-003 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 y posteriores; destinado a corregir 67 vulnerabilidades, la mayoría de ellas podrían llegar a permitir la ejecución de código arbitrario. Afectan a componentes importantes como AppleGraphicsControl, Audio, CoreCapture, CoreStorage, Disk Utility, Graphics Drivers, ImageIO, IOAudioFamily, Kernel, libc, libxml2, libxslt, Messages, OpenGL o QuickTime.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 9.1.1 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11.5. Se solucionan 7 vulnerabilidades relacionadas principalmente con problemas en WebKit (el motor de navegador de código abierto que es la base de Safari). Con identificadores CVE-2016-1849 y CVE-2016-1854 al CVE-2016-1859.

Por otra parte, iOS se actualiza a la versión 9.3.2 que incluye mejoras no relacionadas directamente con la seguridad y soluciona 39 nuevas vulnerabilidades. Gran parte de los fallos podrían permitir la ejecución de código arbitrario. Se ven afectados los componentes Accessibility, CFNetwork Proxies, CommonCrypto, CoreCapture, Disk Images, ImageIO, IOAcceleratorFamily, IOHIDFamily, Kernel, libc, libxml2, libxslt, MapKit, OpenGL, Safari, Siri, WebKit y WebKit Canvas.

De forma similar, Apple publica WatchOS 2.2.1, destinada a su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan hasta 26 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución remota de código arbitrario.

Apple también ha publicado iTunes 12.4 para Windows 7 (y posteriores) que corrige una vulnerabilidad (con CVE-2016-1742) que podría permitir la ejecución de código arbitrario a través del instalador.

Por último, también ha publicado tvOS 9.2.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona un total de 33 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución de código arbitrario.

Más información:

About the security content of OS X El Capitan v10.11.5 and Security Update 2016-003

https://support.apple.com/en-us/HT206567

About the security content of Safari 9.1.1

https://support.apple.com/en-us/HT206565

About the security content of iOS 9.3.2

https://support.apple.com/en-us/HT206568

About the security content of watchOS 2.2.1

https://support.apple.com/en-us/HT206566

About the security content of iTunes 12.4

https://support.apple.com/en-us/HT206379

About the security content of tvOS 9.2.1

https://support.apple.com/en-us/HT206564

                                                                                                  

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero