Nueva macroactualización de seguridad para Mac OS X

Con este último paquete de actualizaciones, Apple ha rebasando la barrera de los 250 problemas de seguridad parcheados en lo que va de año, y eso sin contar los parches específicos de Safari o Quicktime.

Los problemas de seguridad solucionados podrían ser aprovechados por un atacante local o remoto para conducir ataques de cross-site scripting, revelar información sensible, saltarse restricciones de seguridad, causar denegaciones de servicio, y más de la mitad de ellos, podrían permitir la ejecución de código arbitrario en un sistema vulnerable.

Dentro del paquete Security Update 2008-007, disponible para Tiger y Leopard, se incluyen parches para Finder, QuickLook, ColorSync, además de para múltiples componentes de código abierto integrados por Apple, como pueden ser ClamAV, MySQL o Apache Tomcat.

A continuación se analizan las distintas vulnerabilidades solventadas en la última actualización de Mac OS X, comenzando por las de mayor relevancia:

* Actualización de seguridad de Apache a la versión 2.2.9 que solventa múltiples vulnerabilidades, siendo la más grave susceptible de ser utilizada en ataques de cross-site scripting. La versión 2 de Apache está incluida en los sistemas Mac OS X Server 10.4.x, pero no viene activada por defecto.

* Actualización de ClamAV a la versión 0.93.3 que soluciona varias vulnerabilidades, entre ellas una que podría permitir la ejecución de código de forma remota.

* Un desbordamiento de búfer en ColorSync que podría permitir la ejecución de código por medio de una imagen que contenga un perfil ICC.

* Un desbordamiento de memoria intermedia en la codificación del formato de imagen SGI, usadas por el filtro de conversión de imagen imagetops en CUPS. Un atacante podría crear una imagen SGI especialmente manipulada que le podría permitir ejecutar código con permisos del usuario “lp” al imprimirla.

* Desbordamiento de búfer basado en heap en libxslt, que podría permitir la ejecución de código al abrir una página HTML especialmente manipulada.

* Actualización de seguridad a la versión 5.0.67 de MySQL Server, que solventa múltiples problemas de seguridad que podrían ser aprovechados para causar una denegación de servicio o ejecutar código arbitrario.

* Actualización de PHP a la versión 4.4.9 que soluciona varios problemas de seguridad que podrían permitir la ejecución remota de código.

* Desbordamiento de búfer en PSNormalizer al procesar un archivo PostScript especialmente manipulado.

* Denegación de servicio o ejecución remota de código causada por un intento de acceso a memoria fuera de los límites en QuickLook.

* Actualización a la versión 7.2.0.22 de vim que soluciona una posible ejecución de código arbitrario.

* Actualización de seguridad a la versión 6.0.14 de Apache Tomcat que soluciona múltiples vulnerabilidades.

* Certificates ha añadido numerosos certificados de confianza a su lista, y ha actualizado los existentes a su versión más reciente.

* Denegación de servicio en Finder a través de un archivo especialmente manipulado situado en el escritorio.

* Corregido un fallo en launchd introducido por la última actualización de seguridad de Leopard.

* Escalada de privilegios en Networking causada por un desbordamiento de búfer basado en heap.

* Solucionado un posible salto de restricciones de seguridad en Postfix.

* Posible salto de restricciones de seguridad en rlogin.

* Un usuario local podría ganar los permisos de otro usuario por medio de Script Editor.

* Se ha modificado el comando sso_util de Single Sing-On para que pueda aceptar contraseñas desde un archivo.

* Salto de restricciones de seguridad en Weblog.

Teniendo en cuenta las críticas que ha recibido Apple por publicar sus parches sin previo aviso, y también que la última macroactualización (Security Update 2008-006) fue lanzada hace menos de un mes ¿debería Apple subirse al carro de las actualizaciones programadas tal y como ya hacen Cisco, Oracle o Microsoft?

Redacción Silicon

La redacción de Silicon está compuesta por profesionales del periodismo 2.0

Recent Posts

Dell Technologies introduce avances en Dell NativeEdge

Dell pretende que "las organizaciones puedan utilizar continuamente los últimos avances de IA en el…

4 horas ago

HPE anuncia más soluciones de supercomputación

Introduce cinco nuevas soluciones HPE Cray con arquitectura de refrigeración líquida directa y dos servidores…

5 horas ago

Meta Park Montseny-Riells abre las puertas a la realidad aumentada

Las entradas para acudir a este parque temático que defiende un turismo sostenible saldrán a…

6 horas ago

QNAP soportará QTS 5.2 y QuTS hero h5.2 a largo plazo

Amplía la disponibilidad de actualizaciones y parches críticos para ambos sistemas operativo hasta agosto de…

6 horas ago

Pure Storage introduce mejoras en su plataforma Portworx

Con esta actualización acelera las cargas de trabajo de Kubernetes para máquinas virtuales, bases de…

7 horas ago

Elena de Pablo se convierte en Ecosystem Senior Manager de EIT Manufacturing para Iberia

Su cometido pasa por consolidar y ampliar el ecosistema industrial en España y Portugal.

7 horas ago