Acerca del contenido de seguridad de iTunes 10.2

En este documento, se describe el contenido de seguridad de iTunes 10.2.

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o versiones necesarias. Para obtener más información acerca de la seguridad de los productos de Apple, consulta el sitio web Seguridad de los productos Apple.

Para obtener información acerca de la clave PGP de seguridad de los productos Apple, consulta “Cómo usar la clave PGP de seguridad de los productos Apple”.

A fin de proporcionar más información, siempre que sea posible, se usan identificadores CVE para hacer referencia a las vulnerabilidades.

Para obtener información acerca de las actualizaciones de seguridad, consulta “Actualizaciones de seguridad de Apple”.

iTunes 10.2

• ImageIO

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Varias vulnerabilidades en libpng.

  Descripción: libpng se actualizó a la versión 1.4.3 para abordar varias vulnerabilidades. La más grave podía ocasionar la ejecución de código arbitrario. Para los sistemas de Mac OS X v10.5, esto se soluciona en la actualización de seguridad 2010-007. Se puede obtener más información en el sitio web de libpng en http://www.libpng.org/pub/png/libpng.html

  CVE-ID

  CVE-2010-1205

  CVE-2010-2249

• ImageIO

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Visualizar una imagen JPEG creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un problema de desbordamiento del búfer de montón en el manejo de imágenes JPEG por parte de ImageIO. Visualizar un archivo JPEG creado con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2011-0170: Andrzej Dyjak en colaboración con iDefense VCP

• ImageIO

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Visualizar una imagen XBM creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un problema de desbordamiento de enteros en el manejo de imágenes XBM por parte de ImageIO. Ver una imagen XBM creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2011-0181: Harry Sintonen

• ImageIO

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Visualizar una imagen TIFF creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un desbordamiento del búfer en el manejo por parte de libTIFF de imágenes TIFF codificadas en JPEG. Visualizar una imagen TIFF creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2011-0191: Apple

• ImageIO

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Visualizar una imagen TIFF creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un desbordamiento del búfer en el manejo por parte de libTIFF de imágenes TIFF codificadas en el Grupo 4 del CCITT. Visualizar una imagen TIFF creada con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2011-0192: Apple

• libxml

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Procesar un archivo XML creado con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un problema de doble liberación en el manejo de expresiones XPath por parte de libxml. Procesar un archivo XML creado con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2010-4494: Yang Dingning de NCNIPC, Graduate University de Chinese Academy of Sciences

• libxml

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Procesar un archivo XML creado con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  Descripción: Existía un problema de daños en la memoria en el manejo de XPath por parte de libxml. Procesar un archivo XML creado con fines malintencionados podía ocasionar el cierre inesperado de apps o la ejecución de código arbitrario.

  CVE-ID

  CVE-2010-4008: Bui Quang Minh de Bkis (www.bkis.com)

• WebKit

  Disponible para Windows 7, Vista, XP SP2 o versiones posteriores

  Impacto: Un ataque del tipo man-in-the-middle podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

  Descripción: Existen múltiples problemas de corrupción de memoria en WebKit. Un ataque del tipo man-in-the-middle mientras visitas la iTunes Store mediante iTunes podría provocar el cierre inesperado de una aplicación o la ejecución de código arbitrario.

  CVE-ID

  CVE-2010-1824: kuzzcc, y wushi de team509 en colaboración con el programa Zero Day Initiative de TippingPoint

  CVE-2011-0111: Sergey Glazunov

  CVE-2011-0112: Yuzo Fujishima de Google Inc.

  CVE-2011-0113: Andreas Kling de Nokia

  CVE-2011-0114: Chris Evans de Google Chrome Security Team

  CVE-2011-0115: J23 en colaboración con el programa Zero Day Initiative de TippingPoint y Emil A Eklund de Google, Inc.

  CVE-2011-0116: Un investigador anónimo en colaboración con el programa Zero Day Initiative de TippingPoint

  CVE-2011-0117: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0118: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0119: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0120: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0121: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0122: Slawomir Blazek

  CVE-2011-0123: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0124: Yuzo Fujishima de Google Inc.

  CVE-2011-0125: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0126: Mihai Parparita de Google, Inc.

  CVE-2011-0127: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0128: David Bloom

  CVE-2011-0129: Famlam

  CVE-2011-0130: Apple

  CVE-2011-0131: wushi de team509

  CVE-2011-0132: wushi de team509 en colaboración con el programa Zero Day Initiative de TippingPoint

  CVE-2011-0133: wushi de team509 en colaboración con el programa Zero Day Initiative de TippingPoint

  CVE-2011-0134: Jan Tosovsky

  CVE-2011-0135: Un informante anónimo

  CVE-2011-0136: Sergey Glazunov

  CVE-2011-0137: Sergey Glazunov

  CVE-2011-0138: kuzzcc

  CVE-2011-0139: kuzzcc

  CVE-2011-0140: Sergey Glazunov

  CVE-2011-0141: Chris Rohlf de Matasano Security

  CVE-2011-0142: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0143: Slawomir Blazek y Sergey Glazunov

  CVE-2011-0144: Emil A Eklund de Google, Inc.

  CVE-2011-0145: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0146: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0147: Dirk Schulze

  CVE-2011-0148: Michal Zalewski de Google, Inc.

  CVE-2011-0149: wushi de team509 en colaboración con el programa Zero Day Initiative de TippingPoint, y SkyLined de Google Chrome Security Team

  CVE-2011-0150: Michael Gundlach de safariadblock.com

  CVE-2011-0151: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0152: SkyLined de Google Chrome Security Team

  CVE-2011-0153: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0154: Un investigador anónimo en colaboración con el programa Zero Day Initiative de TippingPoint

  CVE-2011-0155: Aki Helin de OUSPG

  CVE-2011-0156: Abhishek Arya (Inferno) de Google, Inc.

  CVE-2011-0165: Sergey Glazunov

  CVE-2011-0168: Sergey Glazunov