OS X Mountain Lion 10.8.4 Security Update 2013-002

Apple ha liberado una nueva actualización de su sistema operativo OS X Mountain Lion. Esta nueva versión es la 10.8.4 y proporciona al usuario mejoras, tanto en la estabilidad del sistema, la compatibilidad como la seguridad de éste. Entre las mejoras de compatibilidad se presentan las siguientes:

• Mejoras de compatibilidad al conectar con redes wireless de tipo empresarial. 
• Mejoras de compatibilidad con el calendario de Microsoft Exchange.
• Solución para realizar llamadas de FaceTime a números externos a EEUU. 
• Mejora la compatibilidad con VoiceOver y la lectura en PDF.
• La inclusión de Safari 6.0.5.

El nuevo Security Update ha proporcionado un gran número de parches a las aplicaciones más utilizadas por los distintos sistemas operativos de OS X. El último Security Update se realizó a mediados de Marzo, por lo que una vez más, y visto el gran número de vulnerabilidades resueltas, se comprueba que OS X cada vez más se encuentra en el punto de mira de los investigadores de seguridad.

Puedes descargar esta versión desde la Mac App Store o desde los siguientes artículos de la knowledge base:

• OS X Mountain Lion 10.8.4 Update 

• OS X Mountain Lion 10.8.4 Update (Combo)

CoreAnimation

La vulnerabilidad de la aplicación afecta desde OS X Mountain Lion 10.8 a la versión 10.8.3. El impacto de la vulnerabilidad permite la ejecución de código remoto debido a un desbordamiento de pila que existe en el handler de text glyphs. Este hecho podría ser disparado por una URL maliciosa a la que se accediese vía Safari. El CVE-2013-0983 identifica la vulnerabilidad.

CFNetwork

Esta vulnerabilidad CVE-2013-0982 afecta desde OS X Mountain Lion 10.8 hasta la 10.8.3. El impacto de la vulnerabilidad resiste en que un usuario puede acceder a una sesión incluso aunque utilice el modo Private Browsing. Es decir, la cookie queda permanente cuando no debería.

CoreMedia Playback

Esta vulnerabilidad CVE-2013-1024 afecta a Mac OS X Lion 10.7 hasta Mac OS X Lion 10.7.5, Mac OS X Lion Server 10.7 a 10.7.5 y OS X Mountain Lion 10.8 a 10.8.3. Un archivo de película malicioso puede generar la ejecución de código arbitrario debido a un acceso a memoria no inicializado.

CUPS

La vulnerabilidad CVE-2012-5519 afecta a los sistemas operativos OS X Mountain Lion 10.8 hasta la versión 10.8.3. Un usuario local perteneciente al gruipo lpadmin puede leer o escribir archivos con privilegios de sistema. Esto se podría llevar a cabo gracias a dicha vulnerabilidad en una escalada de privilegios. Esto es debido a cierta configuración errónea de las directivas de CUPS.

Directory Services & Disk Management

Esta vulnerabilidad CVE-2013-0984 afecta a Mac OS X 10.8 y Mac OS X Server 10.8.3. Un atacante remoto puede ejecutar código arbitrario con privilegios de sistema. La CVE-2013-0985 afecta a OS X Mountain Lion 10.8 hasta OS X Mountain Lion 10.8.3. Esta vulnerabilidad permite a un usuario local deshabilitar FileVault.

OpenSSL

Esta vulnerabilidad afecta a Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion 10.7 hasta la 10.7.5, OS X Lion Server 10.7 hasta la 10.7.5 y Mountain Lion OS X desde la 10.8 hasta la 10.8.3. Los CVE que engloban a OpenSSL son los siguientes:

• CVE-2011-1945. Permite visualizar información a un usuario no autorizado.
• CVE-2011-3207. Permite la modificación del tráfico debido a un fallo de implementación del protocolo.
• CVE-2011-3210. Permite provocar la caída de un servicio.
• CVE-2011-4108. Permite visualizar información a un usuario no autorizado.
• CVE-2011-4109. Permite modificar y visualizar la información que viaja por el protocolo, debido a un fallo en la implementación.
• CVE-2011-4576. Permite visualizar información a un usuario no autorizado, al igual que CVE-2011-4577, CVE-2011-4619, CVE-2012-2131 y CVE-2012-2333.

SMB

Esta vulnerabilidad afecta a Lion, en su versión cliente como servidor, desde la versión 10.7 hasta la 10.7.5 y Mountain Lion desde la 10.8 hasta la 10.8.3. El fallo de seguridad reside en que un usuario no autenticado puede escribir archivos fuera de la carpeta compartida. El expediente de la vulnerabilidad es CVE-2013-0990.

Además Apple Safari presenta un gran número de parches de seguridad pertenecientes a su versión 6.0.5 que viene con el nuevo Security Update.

Figura1: CVEs corregidos en Apple Safari 6.0.5

Entre ellas, como se puede ver el CVE-2013-1000 ha sido reportada por el ingeniero español Fermín J. Serna (@fjserna), al que felicitamos por su ardua labor de investigación todos estos años. Actualiza tu OS X Mountain Lion ya que el nuevo paquete de actualizaciones viene cargado con más parches que el anterior.