Acerca del contenido de seguridad de visionOS 2
En este documento, se describe el contenido de seguridad de visionOS 2.
Acerca de las actualizaciones de seguridad de Apple
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.
Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.
Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.
visionOS 2
Publicado el 16 de septiembre de 2024
ARKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda generar daños en la memoria del montón
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-44126: Holger Fuhrmannek
Entrada agregada el 28 de octubre de 2024
APFS
Disponible para: Apple Vision Pro
Impacto: Es posible que una app malintencionada con privilegios de usuario raíz pueda modificar el contenido de los archivos del sistema
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)
Compression
Disponible para: Apple Vision Pro
Impacto: Abrir un archivo creado con fines malintencionados podía permitir que un atacante escribiera archivos arbitrarios.
Descripción: Para solucionar un problema de condición de carrera, se mejoró el bloqueo.
CVE-2024-27876: Snoolie Keffaber (@0xilis)
DiskArbitration
Disponible para: Apple Vision Pro
Impacto: Es posible que una app aislada pueda acceder a datos confidenciales del usuario
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-40855: Csaba Fitzl (@theevilbit) de Kandji
Entrada agregada el 3 de marzo de 2025
FileProvider
Disponible para: Apple Vision Pro
Impacto: Es posible que un usuario local pueda filtrar información confidencial del usuario
Descripción: Para solucionar este problema, se mejoró la comprobación.
CVE-2024-54469: Csaba Fitzl (@theevilbit) de Kandji
Entrada agregada el 3 de marzo de 2025
Game Center
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda acceder a información confidencial del usuario
Descripción: Se mejoró la validación de entradas para solucionar un problema de acceso a archivos.
CVE-2024-40850: Denis Tokarev (@illusionofcha0s)
ImageIO
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.
Descripción: Se mejoró la validación de entradas para solucionar un problema de lectura fuera de los límites.
CVE-2024-27880: Junsung Lee
ImageIO
Disponible para: Apple Vision Pro
Impacto: El procesamiento de una imagen podía provocar una denegación de servicio
Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.
CVE-2024-44176: dw0r de ZeroPointer Lab en colaboración con el programa Zero Day Initiative de Trend Micro y un investigador anónimo
IOSurfaceAccelerator
Disponible para: Apple Vision Pro
Impacto: Una app podía provocar el cierre inesperado del sistema.
Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.
CVE-2024-44169: Antonio Zekić
Kernel
Disponible para: Apple Vision Pro
Impacto: El tráfico de red podía irse por un túnel de la VPN.
Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.
CVE-2024-44165: Andrew Lytvynov
Kernel
Disponible para: Apple Vision Pro
Impacto: Es posible que una app obtenga acceso no autorizado a Bluetooth
Descripción: Para solucionar este problema, se mejoró la administración del estado.
CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) y Mathy Vanhoef
libxml2
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.
Descripción: Se solucionó un problema de desbordamiento de enteros mejorando la validación de entradas.
CVE-2024-44198: OSS-Fuzz, Ned Williamson de Google Project Zero
mDNSResponder
Disponible para: Apple Vision Pro
Impacto: Una app podía provocar una denegación de servicio.
Descripción: Se mejoró la administración de errores para solucionar un problema de lógica.
CVE-2024-44183: Olivier Levon
Model I/O
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar una denegación de servicio
Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.
CVE-2023-5841
Notes
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda sobrescribir archivos arbitrarios.
Descripción: Este problema se solucionó mediante la eliminación del código vulnerable.
CVE-2024-44167: ajajfxhj
Presence
Disponible para: Apple Vision Pro
Impacto: Es posible que una app pueda leer datos confidenciales de la memoria de la GPU
Descripción: Para solucionar el problema, se mejoró el manejo de las cachés.
CVE-2024-40790: Max Thomas
SceneKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app.
Descripción: Se mejoró la validación de tamaños para solucionar un problema de desbordamiento de búferes.
CVE-2024-44144: 냥냥
Entrada agregada el 28 de octubre de 2024
WebKit
Disponible para: Apple Vision Pro
Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.
Descripción: Se solucionó un problema de administración de cookies mejorando la administración de estado.
WebKit Bugzilla: 287874
CVE-2024-54467: Narendra Bhati, gerente de Ciberseguridad de Suma Soft Pvt. Ltd, Pune, India
Entrada agregada el 3 de marzo de 2025
WebKit
Disponible para: Apple Vision Pro
Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.
Descripción: Para solucionar este problema, se mejoró la comprobación.
WebKit Bugzilla: 268770
CVE-2024-44192: Tashita Software Security
Entrada agregada el 3 de marzo de 2025
WebKit
Disponible para: Apple Vision Pro
Impacto: El procesamiento de contenido web creado con fines malintencionados podía ocasionar un ataque de scripts de sitios universal.
Descripción: Para solucionar este problema, se mejoró la administración del estado.
WebKit Bugzilla: 268724
CVE-2024-40857: Ron Masas
WebKit
Disponible para: Apple Vision Pro
Impacto: Un sitio web malintencionado podía exfiltrar datos mediante un origen cruzado.
Descripción: Existía un problema de origen cruzado con los elementos de iFrame. Este problema se solucionó mejorando el seguimiento de los orígenes de seguridad.
WebKit Bugzilla: 279452
CVE-2024-44187: Narendra Bhati, dirección de Cyber Security en Suma Soft Pvt. Ltd, Pune, India
Otros agradecimientos
Kernel
Nos gustaría darle las gracias a Braxton Anderson por su ayuda.
Maps
Nos gustaría darle las gracias a Kirin (@Pwnrin) por su ayuda.
Notifications
Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College of Technology Bhopal, Dev dutta (manas.dutta.75) y Prateek Pawar (vakil sahab) por su ayuda.
Entrada agregada el 3 de marzo de 2025
Passwords
Nos gustaría darle las gracias a Richard Hyunho Im (@r1cheeta) por su ayuda.
Photos
Nos gustaría darle las gracias a Junior Vergara por su ayuda.
Entrada agregada el 3 de marzo de 2025
TCC
Nos gustaría darle las gracias a Vaibhav Prajapati por su ayuda.
WebKit
Nos gustaría darles las gracias a Avi Lumelsky de Oligo Security, Uri Katz de Oligo Security, Eli Grey (eligrey.com) y Johan Carlsson (joaxcar) por su ayuda.
Entrada actualizada el 28 de octubre de 2024
La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.