OS X Mountain Lion 10.8.3 y Mac OS X Update 2013-001

Apple ha publicado una gran cantidad de actualizaciones de software para la plataforma (Mac) OS X que debes instalar ya en tus equipos. Vamos a intentar informaros de las principales novedades en seguridad en cada una de ellas en varios posts. Este primero vamos a dedicárselo a la actualización base del sistema operativo.

OS X Mountain Lion 10.8.3

En esta actualización hay un total de 21 CVEs solucionados que no todos afectan a la versión OS X Mountain Lion. La mayoría con un impacto de nivel crítico dentro de la seguridad del sistema, lo que hace que debas instalarlo lo antes posible.

Figura 1: OS X Mountain Lion 10.8.3 en la Mac App Store

Puedes descargar esta versión desde la Mac App Store o desde los siguientes artículos de la knowledge base:

- OS X Mountain Lion 10.8.3 Update
- OS X Mountain Lion 10.8.3 Update (Combo)

Puedes ver todos los CVE corregidos en el artículo HT5672. Algunos de los fallos corregidos más significativos que afectan a OS X Mountain Lion son:

- CVE-2013-0969: Control de preferencias del sistema con VoiceOver aún con la pantalla bloqueada.

- CVE-2013-0967: Permite ejecutar un Applet Java incluso si el Plug-in está deshabilitado.

- CVE-2013-0966: Fallo en mod_hfs_apple de Apache que permite saltarse credenciales en acceso a directorios protegidos por HTTP.

- CVE-2011-3058: Fallo en la interpretación de caracteres EUC-JP que permite hacer ataques XSS.

- CVE-2013-0963: Fallo en la cadena de confianza de los certificados AppleID que llevan a confiar en cadenas vacías.

- CVE-2012-2088: Fallo que permite ejecución de código en el sistema a partir de imágenes TIFF.

- CVE-2013-0976: Ejecución de código por medio de visualización de imágenes maliciosas.

- CVE-2012-3749: Revelación de direcciones de memoria por medio de un fallo en el kernel descubierto por Mark Dowd.

- CVE-2013-0970: Ejecución de llamada de FaceTime automática al hacer clic en un enlace de Messages.

- CVE-2012-3525: Un atacante puede re-enrutar mensajes federados con Jabber.

- CVE-2013-0971: Bug en PDFKit que permite ejecutar código arbitraría con solo abrir un documento PDF.

- CVE-2013-0971: Buffer Overflow en Quick Time que permite ejecutar código desde una película maliciosa.

- CVE-2013-0973: Bug en Software Update que permite inyectar código en el texto de marketing de las aplicaciones y llevar a ataques de ingeniería social.

Además de estos bugs, también se han bloqueado los certificados robados a TURKTRUST que podrían utilizarse para hacer ataques man in the middle, y, desde que Apple ha dejado el viejo discurso de que en Mac OS X no hay malware, ha empezado a tomárselo más en serio y publicar una Malware Removal Tool que se ejecutará nada más descargarse la actualización para eliminar el malware más común en los sistemas Mac OS X, del que intentamos ir informando en este blog.

Apple Safari 6.0.3 y Apple Safari 5.1.8

Esta versión también incluye la nueva versión del navegadore Apple Safari 6.0.3 con, por supuesto, fallos de seguridad corregios. En esta versión se han solucionado un total de 17 bugs que están disponibles en el artículo de la Knowledge Base HT 5671. En el Security Update 2013-001 para Snow Leopard viene la versión de Apple Safari 5.1.8.

BootCamp y Sudo

También se ha modificado el sistema para que Boot Camp permita el arranque dual con sistemas Windows 8, por lo que se han puesto disponibles nuevas versiones de este software para todas las plataformas, de lo que os hablaremos en otro post. Por desgracia, parece que no se ha parcheado el bug de sudo, con lo que aún será posible realizar los ataques de elevación de privilegios en local en todos los equipos con OS X Moutain Lion.

Mac OS X Sercurity Update 2013-001

Además de los bugs descritos en las versiones servidoras de Mac OS X Snow Leopard y Mac OS X Lion se han solucionado algunos en PostgreSQL, Wiki Server y Podcast Producer Server. Todos los CVE solucionados están disponibles en las siguientes actualizaciones que puedes descargar vía Web o vía Software Update.

- Security Update 2013-001 Mac OS X Lion
- Security Update 2013-001 Mac OS X Lion Server
- Security Update 2013-001 Mac OS X Snow Leopard
- Security Update 2013-001 Mac OS X Snow Leopard Server

Si eres administrador de una red con muchos equipos con Mac OS X, esperamos que tengas un viernes tranquilo, que son muchos los bytes que hay que descargarse hoy para estar seguro.