CVE-2023-42917highbajo ataqueCWE-787

CVE-2023-42917: fallo de gravedad alta en Apple macOS

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear macOS+ Monitorear iOS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

51Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 9.3%
de la publicación al arma
Publicada en NVD30 nov
CISA KEV+4d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos (9 componentes)
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6
workaround: Do not process or load untrusted web content with WebKitGTK. In Red Hat Enterprise Linux 7, the following packages require WebKitGTK4: evolution-data-server, glade, gnome-boxes, gnome-initial-setup, gnome-online-accounts, gnome-shell, shotwell…
Corregido
14 productos (515 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream E4S (v.8.6) · Red Hat Enterprise Linux AppStream E4S (v.9.0) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · y otros 9
corrección ↗
Acción exigida por CISAplazo federal: 2023-12-25

Apply remediations or mitigations per vendor instructions or discontinue use of the product if remediation or mitigations are unavailable.

En resumen

Una falla de corrupción de memoria en el procesamiento de contenido web de Apple permite que atacantes ejecuten código malicioso en tu dispositivo al visitar un sitio perjudicial. El problema se ha corregido en las actualizaciones recientes de iOS, iPadOS, macOS y Safari.

Detalle técnico

Un desbordamiento de búfer de heap (CWE-787) en el procesamiento de contenido web permite ejecución remota de código mediante páginas web especialmente diseñadas. La vulnerabilidad requiere interacción del usuario (visita a sitio malicioso) y afecta iOS, iPadOS, macOS y Safari. Se corrige mediante mejora de primitivas de sincronización en iOS 17.1.2+, macOS Sonoma 14.1.2+ y Safari 17.1.2+.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A memory corruption vulnerability was addressed with improved locking. This issue is fixed in iOS 17.1.2 and iPadOS 17.1.2, macOS Sonoma 14.1.2, Safari 17.1.2. Processing web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been exploited against versions of iOS before iOS 16.7.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Apple · iOS and iPadOSApple · macOSApple · Safari
CVEs relacionadas — Apple macOS

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-30860HIGHCVE-2021-30860EPSS 76.0%KEVCVE-2021-30657MEDIUMCVE-2021-30657EPSS 68.5%KEVCVE-2025-43300CRITICALCVE-2025-43300EPSS 63.2%KEVCVE-2023-32434HIGHCVE-2023-32434EPSS 58.2%KEVCVE-2023-41064HIGHCVE-2023-41064EPSS 53.4%KEVCVE-2021-30807HIGHCVE-2021-30807EPSS 28.8%KEV