RedMallorca LAB

Apple ha publicado una gran cantidad de actualizaciones de software para la plataforma (Mac) OS X que debes instalar ya en tus equipos. Vamos a intentar informaros de las principales novedades en seguridad en cada una de ellas en varios posts. Este primero vamos a dedicárselo a la actualización base del sistema operativo.

Figura 1: OS X Mountain Lion 10.8.3 en la Mac App Store

– OS X Mountain Lion 10.8.3 Update
– OS X Mountain Lion 10.8.3 Update (Combo)

– CVE-2013-0969: Control de preferencias del sistema con VoiceOver aún con la pantalla bloqueada.

– CVE-2013-0967: Permite ejecutar un Applet Java incluso si el Plug-in está deshabilitado.

– CVE-2013-0966: Fallo en mod_hfs_apple de Apache que permite saltarse credenciales en acceso a directorios protegidos por HTTP.

– CVE-2011-3058: Fallo en la interpretación de caracteres EUC-JP que permite hacer ataques XSS.

– CVE-2013-0963: Fallo en la cadena de confianza de los certificados AppleID que llevan a confiar en cadenas vacías.

– CVE-2012-2088: Fallo que permite ejecución de código en el sistema a partir de imágenes TIFF.

– CVE-2013-0976: Ejecución de código por medio de visualización de imágenes maliciosas.

– CVE-2012-3749: Revelación de direcciones de memoria por medio de un fallo en el kernel descubierto por Mark Dowd.

– CVE-2013-0970: Ejecución de llamada de FaceTime automática al hacer clic en un enlace de Messages.

– CVE-2012-3525: Un atacante puede re-enrutar mensajes federados con Jabber.

– CVE-2013-0971: Bug en PDFKit que permite ejecutar código arbitraría con solo abrir un documento PDF.

– CVE-2013-0971: Buffer Overflow en Quick Time que permite ejecutar código desde una película maliciosa.

– CVE-2013-0973: Bug en Software Update que permite inyectar código en el texto de marketing de las aplicaciones y llevar a ataques de ingeniería social.

Además de estos bugs, también se han bloqueado los certificados robados a TURKTRUST que podrían utilizarse para hacer ataques man in the middle, y, desde que Apple ha dejado el viejo discurso de que en Mac OS X no hay malware, ha empezado a tomárselo más en serio y publicar una Malware Removal Tool que se ejecutará nada más descargarse la actualización para eliminar el malware más común en los sistemas Mac OS X, del que intentamos ir informando en este blog.

Apple Safari 6.0.3

Esta versión también incluye la nueva versión del navegadore Apple Safari 6.0.3 con, por supuesto, fallos de seguridad corregios. En esta versión se han solucionado un total de 17 bugs que están disponibles en el artículo de la Knowledge Base HT 5671.

BootCamp y Sudo

También se ha modificado el sistema para que Boot Camp permita el arranque dual con sistemas Windows 8, por lo que se han puesto disponibles nuevas versiones de este software para todas las plataformas, de lo que os hablaremos en otro post. Por desgracia, parece que no se ha parcheado el bug de sudo, con lo que aún será posible realizar los ataques de elevación de privilegios en local en todos los equipos con OS X Moutain Lion.

Mac OS X Sercurity Update 2013-001

Además de los bugs descritos en las versiones servidoras de Mac OS X Snow Leopard y Mac OS X Lion se han solucionado algunos en PostgreSQL, Wiki Server y Podcast Producer Server. Todos los CVE solucionados están disponibles en las siguientes actualizaciones que puedes descargar vía Web o vía Software Update.

Si eres administrador de una red con muchos equipos con Mac OS X, esperamos que tengas un viernes tranquilo, que son muchos los bytes que hay que descargarse hoy para estar seguro.

Publicado en Seguridad Apple – Google+ – RSS – Informática 64 – El lado del mal