Apple lanzó esta semana parches de seguridad para iOS, OS X y una actualización para el navegador Safari.

Los parches se producen menos de una semana después de la presentación en ShmooCon del director de investigación de SYNACK, Patrick Wardle, quien reveló la característica de seguridad Gatekeeper de Apple en OS X, la cual puede ser burlada por un atacante con acceso a nivel de red.

La actualización de OS X El Capitan 10.11.3 corrige nueve vulnerabilidades, incluye problemas de corrupción de memoria en el kernel de OS X, administración de energía de los gráficos de Apple, imágenes de disco, IOAccelerator, IOHIDFamily e IOKit, estas fallas permitían a los atacantes de la red local ejecución arbitraria de código con privilegios locales.

Apple también reparó un problema en libxslt que se podía ejecutar en un ataque web y que llevaba a la ejecución de código; la vulnerabilidad afecta a Mavericks, Yosemite y a las versiones actuales de El Capitan.

Otra vulnerabilidad crítica de corrupción de memoria que conduce a la ejecución de código con privilegios de administración fue parchada en syslog. El fallo se dio a conocer de forma privada por Joshua Drake y Nikias Bassen de Zimperium zLabs; el verano pasado Drake descubrió e informó de las vulnerabilidades Stagefright en Android.

La última vulnerabilidad de OS X fue encontrada en OSA (Open Scripting Architecture) de El Capitan, en la cual una aplicación en cuarentena podría anular bibliotecas de scripts OSA de un usuario.

Apple también ha actualizado iOS, liberando a los usuarios la versión iOS 9.2.1 y corrigiendo 13 vulnerabilidades en el proceso.

La mayoría de las vulnerabilidades exponen a los usuarios de iOS a ejecución de código arbitrario, ya sea por un atacante con acceso local o a través de la web.

Apple también corrigió cinco errores de corrupción de memoria en WebKit que podrían provocar la ejecución de código arbitrario y otra vulnerabilidad crítica en WebKit CSS que afecta a la privacidad del usuario al exponer los enlaces de los sitios web que ha visitado. Apple mencionó que mejoró la validación en este proceso, atendiendo la vulnerabilidad. De igual forma mejoró el manejo de memoria para todas las vulnerabilidades de WebKit que fueron encontradas internamente.

Una falla en una WebSheet también fue corregida en iOS 9.2.1, en esta un portal malicioso podría acceder o escribir cookies.

Las mismas vulnerabilidades WebKit y WebKit CSS se abordaron también en la actualización de Safari; los usuarios fueron trasladados a Safari 9.0.3.