Apple ha publicado
siete boletines de seguridad que solucionan fallos para sus productos iOS,
watchOS, macOS, tvOS, Safari y iTunes y iCloud para Windows. En total se
corrigen 238 fallos de seguridad entre los que se encuentra KRACK.
Apple ha aprovechado el
día de Halloween para lanzar su nueva actualización de seguridad que da
solución a KRACK, una grave vulnerabilidad en WPA/WPA2 de la que ya hablamos en
esta entrada. El fallo ha sido corregido de todos los dispositivos de Apple con
soporte, entre los que se encuentran iOS, macOS High Sierra, tvOS y watchOS. De
esta manera, la empresa de Cupertino se ha adelantado a Google en ofrecer una
solución a este grave fallo. Se espera un parche en Android el día 6 de
noviembre, si todo va según lo esperado.
El sistema que más
cambios ha recibido ha sido macOS Sierra 10.13.1, con 148 fallos solucionados.
La mayoría de los errores pertenecen a tcpdump, con 90 de los fallos. El resto
de componentes afectados, entre los que se encuentran Audio, CFString,
fsck_msdos, ImageIO, libarchive, Open Scripting Architecture, Quick Look,
QuickTime, HFS, Remote Management y Sandbox, permitían la ejecución de código
aleatorio y acceso a memoria restringida. Este último, Sandbox, hacía posible
además la ejecución con privilegios del sistema. Otros 12 errores pertenecen a
Apache, y otros 11 al Kernel, siendo la mayoría de lectura de áreas de memoria
restringida y de ejecución de código arbitrario. APFS vuelve a estar en el ojo
de mira, permitiendo además de ejecución aleatoria de código, el descifrado de
disco con un conector manipulado ( CVE-2017-13786 ).
iOS 11.1 soluciona 23
errores, de los cuales 14 afectan a WebKit, y habiendo sido la mayoría
descubiertos por Ivan Fratric de Google Project Zero. Estos errores permitían
la ejecución de código arbitrario en el procesado de una web especialmente
manipulada. Estos mismos errores, se vuelven a ver en Safari, tvOS, y iCloud y
iTunes para Windows. El resto de componentes afectados han sido CoreText,
Kernel, Messages, Siri, StreamingZip y UIKit. En su mayoría son errores que
afectan a la privacidad del usuario. Destaca el fallo en el kernel (
CVE-2017-13799 ), que permite la ejecución de código arbitrario con los
permisos del kernel, y que afecta también a macOS Sierra, tvOS y watchOS. El
fallo en StreamingZip permitiría además acceder a zonas restringidas del sistema
de archivos.
watchOS 4.1 sólo ha
tenido que parchear 4 fallos, que pertenecen a CoreText, Kernel, StreamingZip y
Wi-Fi; siendo este último KRACK, del que hablamos al principio. Estos mismos
fallos pueden verse en tvOS y iOS. Además, salvo el de CoreText, los otros 3
también están en macOS. tvOS 11.1 tiene los mismos 4 errores parcheados, además
de los 14 de WebKit de los que se habló en el apartado anterior.
Safari 11.0.1, iTunes
12.7.1 para Windows y iCloud para Windows 7.1, poseen los 3 los mismos 14
fallos de WebKit, al encontrarse todos basados en este. Ni iTunes ni iCloud
tienen fallos adicionales, siendo Safari el único que cuenta con parches para
el mismo, con los CVE-2017-13790 y CVE-2017-13789, que permitían hacer spoofing
a la barra de direcciones.
Más información:
- Security content of macOS High Sierra 10.13.1 https://support.apple.com/es-es/HT208221
- About the security content of iOS 11.1 https://support.apple.com/es-es/HT208222
- Acerca del contenido de seguridad de watchOS 4.1 https://support.apple.com/es-es/HT208220
- Acerca del contenido de seguridad de tvOS 11.1 https://support.apple.com/es-es/HT208219
- About the security content of Safari 11.0.1 https://support.apple.com/es-es/HT208223
- Acerca del contenido de seguridad de iTunes 12.7.1 para Windows https://support.apple.com/es-es/HT208224
- Acerca del contenido de seguridad de iCloud para Windows https://support.apple.com/es-es/HT208225
Fuente: Hispasec.com
