CVE-2019-8506highbajo ataqueCWE-843

CVE-2019-8506: fallo de gravedad alta en Apple iOS

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear iOS+ Monitorear watchOS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

76Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 16%
de la publicación al armael mismo día
Publicada en NVD18 dic
1ª PoC3 abr
CISA KEV+868d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos (9 componentes)
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6
no_fix_planned: Out of support scope
Corregido
11 productos (1407 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat CodeReady Linux Builder (v. 8) · Red Hat Enterprise Linux BaseOS (v. 8) · Red Hat Enterprise Linux Client (v. 7) · Red Hat Enterprise Linux Client Optional (v. 7) · y otros 6
corrección ↗
Acción exigida por CISAplazo federal: 2022-05-25

Apply updates per vendor instructions.

En resumen

Una vulnerabilidad en Safari y otras aplicaciones de Apple permite que atacantes ejecuten código malicioso en tu dispositivo mediante contenido web manipulado. El problema ocurre cuando el software confunde qué tipo de dato está procesando, potencialmente otorgando control total del sistema a los atacantes.

Detalle técnico

Una vulnerabilidad de confusión de tipos (type confusion) en el manejo de memoria (CWE-843) permite ejecución de código arbitrario al procesar contenido web especialmente elaborado. El vector de ataque es remoto a través de navegación web, sin requerir autenticación ni privilegios especiales. La explotación exitosa resulta en ejecución de código arbitrario con los privilegios de la aplicación afectada.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A type confusion issue was addressed with improved memory handling. This issue is fixed in iOS 12.2, tvOS 12.2, watchOS 5.2, Safari 12.1, iTunes 12.9.4 for Windows, iCloud for Windows 7.11. Processing maliciously crafted web content may lead to arbitrary code execution.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Apple · iCloud for WindowsApple · iOSApple · iTunes for WindowsApple · SafariApple · tvOSApple · watchOS
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apple iOS

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-30860HIGHCVE-2021-30860EPSS 76.0%KEVCVE-2019-8605HIGHCVE-2019-8605EPSS 17.6%KEVCVE-2019-7286HIGHCVE-2019-7286EPSS 15.9%KEVCVE-2020-3837HIGHCVE-2020-3837EPSS 14.8%KEVCVE-2021-30858HIGHCVE-2021-30858EPSS 13.4%KEVCVE-2021-30762HIGHCVE-2021-30762EPSS 11.0%KEV