نبذة عن محتوى أمان macOS Catalina 10.15.4 وتحديث الأمان ‎2020-002 لـ Mojave وتحديث الأمان ‎2020-002 لـ High Sierra

يتناول هذا المستند محتوى أمان macOS Catalina 10.15.4 وتحديث الأمان ‎2020-002 لـ Mojave وتحديث الأمان ‎2020-002 لـ High Sierra.

نبذة عن تحديثات أمان Apple

لحماية عملائنا، تحرص Apple على عدم الإفصاح عن مشاكل الأمان أو طرحها للنقاش أو تأكيدها حتى يتم تقصي الأمر وتوفير تصحيحات أو إصدارات جديدة. يتم إدراج أحدث الإصدارات في صفحة تحديثات أمان Apple.

تشير مستندات الأمان في Apple إلى الثغرات الأمنية من خلال CVE-ID إن أمكن ذلك.

للحصول على مزيد من المعلومات حول الأمان، يمكنك الاطلاع على صفحة أمان منتجات Apple.

macOS Catalina 10.15.4 وتحديث الأمان ‎2020-002 لـ Mojave وتحديث الأمان ‎2020-002 لـ High Sierra

الحسابات

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد تتمكّن إحدى عمليات وضع الحماية من التحايل على قيود وضع الحماية

الوصف: تمت معالجة مشكلة منطقية من خلال القيود المحسّنة.

CVE-2020-9772:‏ Allison Husain من UC Berkeley

دعم Apple HSSPI

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات النظام

الوصف: تمت معالجة مشكلة تلف الذاكرة من خلال المعالجة المحسّنة للذاكرة.

CVE-2020-3903:‏ Proteas من فريق Qihoo 360 Nirvan Team

AppleGraphicsControl

متوفر لما يلي: macOS High Sierra 10.13.6 وmacOS Mojave 10.14.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكّن أحد التطبيقات الضارة من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات kernel

الوصف: تمت معالجة العديد من مشاكل تلف الذاكرة من خلال الإدارة المحسّنة للحالة.

CVE-2020-3904:‏ Proteas من فريق Qihoo 360 Nirvan Team

AppleMobileFileIntegrity

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات من استخدام استحقاقات عشوائية

الوصف: تمت معالجة هذه المشكلة عبر عمليات التحقق المحسّنة.

CVE-2020-3883:‏ ‎Linus Henze (pinauten.de)‎

Bluetooth

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكّن مخترق يتمتع بمنصب ذي امتيازات في الشبكة من اعتراض حركة مرور Bluetooth

الوصف: وُجدت مشكلة تتعلق باستخدام PRNG بإنتروبيا منخفضة. وتمت معالجة هذه المشكلة من خلال الإدارة المحسّنة للحالة.

CVE-2020-6616:‏ ‎Jörn Tillmanns (@matedealer)‎ و‎Jiska Classen (@naehrdine)‎ من Secure Mobile Networking Lab

Bluetooth

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات الضارة من تحديد تخطيط ذاكرة kernel

الوصف: تمت معالجة مشكلة متعلقة بتلف الذاكرة من خلال التحقق المحسّن.

CVE-2020-9853:‏ Yu Wang من Didi Research America

Bluetooth

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتسبب مستخدم محلي في إحداث إنهاء غير متوقع للنظام أو قراءة ذاكرة kernel

الوصف: تمت معالجة القراءة غير المسموح بها عن طريق التحقق المحسّن من صحة الإدخال.

CVE-2020-3907:‏ Yu Wang من Didi Research America

CVE-2020-3908:‏ Yu Wang من Didi Research America

CVE-2020-3912:‏ Yu Wang من Didi Research America

CVE-2020-9779:‏ Yu Wang من Didi Research America

Bluetooth

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكّن أحد التطبيقات الضارة من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات kernel

الوصف: تمت معالجة مشكلة متعلقة بتلف الذاكرة من خلال التحقق المحسّن من صحة الإدخال.

CVE-2020-3892:‏ Yu Wang من Didi Research America

CVE-2020-3893:‏ Yu Wang من Didi Research America

CVE-2020-3905:‏ Yu Wang من Didi Research America

Bluetooth

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6

التأثير: قد يتمكن أحد التطبيقات من قراءة ذاكرة مقيدة

الوصف: تمت معالجة مشكلة تتعلق بالتحقق من الصحة من خلال الإبراء المحسّن للإدخال.

CVE-2019-8853:‏ Jianjun Dai من Qihoo 360 Alpha Lab

سجل المكالمات

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن تطبيق ضار من الوصول إلى سجل مكالمات المستخدم

الوصف: تمت معالجة هذه المشكلة عبر استحقاق جديد.

CVE-2020-9776:‏ ‎Benjamin Randazzo (@____benjamin)‎

CoreBluetooth

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مخترق عن بُعد من تسريب معلومات حساسة خاصة بالمستخدم

الوصف: تمت معالجة القراءة غير المسموح بها عن طريق التحقق المحسّن من صحة الإدخال.

CVE-2020-9828:‏ Jianjun Dai من Qihoo 360 Alpha Lab

CoreFoundation

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات الضارة من رفع الامتيازات

الوصف: وجدت مشكلة تتعلق بالأذونات. وقد تمت معالجة هذه المشكلة من خلال التحقق المحسّن من صحة الإذن.

CVE-2020-3913:‏ Timo Christ من Avira Operations GmbH & Co. KG

CoreText

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد تؤدي معالجة رسالة نصية متطفّلة إلى رفض التطبيق للخدمة

الوصف: تمت معالجة مشكلة تتعلق بالتحقق من الصحة من خلال الإبراء المحسّن للإدخال.

CVE-2020-9829:‏ ‎Aaron Perris (@aaronp613)‎ وباحث غير معلوم الهوية وباحث غير معلوم الهوية وCarlos S Tech وSam Menzies من Sam’s Lounge وSufiyan Gouri من Lovely Professional University في الهند وSuleman Hasan Rathor من Arabic-Classroom.com

CUPS

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات من الحصول على امتيازات عالية

الوصف: تمت معالجة مشكلة متعلقة بتلف الذاكرة من خلال التحقق المحسّن.

CVE-2020-3898:‏ ‎Stephan Zeisberg (github.com/stze)‎ من ‎Security Research Labs (srlabs.de)‎

FaceTime

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مستخدم محلي من عرض معلومات حساسة خاصة بالمستخدم

الوصف: تمت معالجة مشكلة تتعلق بالمنطق من خلال الإدارة المحسّنة للحالة.

CVE-2020-3881:‏ Yuval Ron وAmichai Shulman وEli Biham من Technion - ‏Israel Institute of Technology

برنامج تشغيل رسومات Intel

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكّن أحد التطبيقات الضارة من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات kernel

الوصف: تمت معالجة مشكلة تتعلق بالاستخدام بعد التحرير من خلال الإدارة المحسّنة للذاكرة.

CVE-2020-3886:‏ Proteas

برنامج تشغيل رسومات Intel

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن تطبيق ضار من الكشف عن الذاكرة المقيدة

الوصف: تمت معالجة مشكلة تتعلق بالكشف عن المعلومات عن طريق الإدارة المحسّنة للحالة.

CVE-2019-14615:‏ Wenjian HE من Hong Kong University of Science and Technology وWei Zhang من Hong Kong University of Science and Technology وSharad Sinha من Indian Institute of Technology Goa وSanjeev Das من University of North Carolina

IOHIDFamily

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكّن أحد التطبيقات الضارة من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات kernel

الوصف: تمت معالجة مشكلة تشغيل للذاكرة من خلال المعالجة المحسّنة للذاكرة.

CVE-2020-3919:‏ Alex Plaskett من F-Secure Consulting

IOThunderboltFamily

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6

التأثير: قد يتمكن أحد التطبيقات من الحصول على امتيازات عالية

الوصف: تمت معالجة مشكلة تتعلق بالاستخدام بعد التحرير من خلال الإدارة المحسّنة للذاكرة.

CVE-2020-3851:‏ Xiaolong Bai وMin (Spark) Zheng من Alibaba Inc.‎ وLuyi Xing من Indiana University Bloomington

iTunes

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن تطبيق ضار من استبدال الملفات الإجبارية

الوصف: تمت معالجة هذه المشكلة من خلال إزالة التعليمة البرمجية المعرّضة للهجوم.

CVE-2020-3896:‏ Christoph Falta

Kernel

متوفر لما يلي: macOS High Sierra 10.13.6 وmacOS Mojave 10.14.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن أحد التطبيقات من قراءة ذاكرة مقيدة

الوصف: تمت معالجة مشكلة تشغيل للذاكرة من خلال المعالجة المحسّنة للذاكرة.

CVE-2020-3914:‏ ‎pattern-f (@pattern_F_)‎ من WaCai

Kernel

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكّن أحد التطبيقات الضارة من تنفيذ تعليمة برمجية عشوائية باستخدام امتيازات kernel

الوصف: تمت معالجة العديد من مشاكل تلف الذاكرة من خلال الإدارة المحسّنة للحالة.

CVE-2020-9785:‏ Proteas من فريق Qihoo 360 Nirvan Team

libxml2

متوفر لما يلي: macOS High Sierra 10.13.6 وmacOS Mojave 10.14.6 وmacOS Catalina 10.15.3

التأثير: مشاكل متعددة في libxml2

الوصف: تمت معالجة تجاوز سعة التخزين المؤقت من خلال التحقق المُحسّن من الحدود.

CVE-2020-3909:‏ LGTM.com

CVE-2020-3911:‏ وُجدت بواسطة OSS-Fuzz

libxml2

متوفر لما يلي: macOS High Sierra 10.13.6 وmacOS Mojave 10.14.6 وmacOS Catalina 10.15.3

التأثير: مشاكل متعددة في libxml2

الوصف: تمت معالجة مشكلة تجاوز سعة المخزن المؤقت من خلال التحقق المُحسّن من الحجم.

CVE-2020-3910:‏ LGTM.com

البريد

متوفر لما يلي: macOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن مخترق عن بُعد من تنفيذ تعليمة برمجية عشوائية من javascript

الوصف: تمت معالجة مشكلة متعلقة بالتضمين من خلال التحقق المحسّن من الصحة.

CVE-2020-3884:‏ Apple

الطباعة

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن تطبيق ضار من استبدال الملفات الإجبارية

الوصف: تم حل مشكلة معالجة المسار من خلال التحقق المحسّن من الصحة.

CVE-2020-3915: باحث غير معلوم الهوية بالاشتراك مع ‎iDefense Labs (https://vcp.idefense.com/)‎، ‏‎HyungSeok Han (DaramG) @Theori‎ بالاشتراك مع مبادرة Zero Day Initiative من TrendMicro

Safari‏

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: يمكن حفظ نشاط التصفح الخاص للمستخدم دون قصد في "مدة استخدام الجهاز"

الوصف: وجدت مشكلة في معالجة علامات التبويب التي تعرض الفيديو بنظام صورة داخل صورة. وقد تم تصحيح هذه المشكلة من خلال المعالجة المحسَّنة للحالة.

CVE-2020-9775:‏ ‎Andrian (@retroplasma)‎ وMarat Turaev و‎Marek Wawro (futurefinance.com)‎ وSambor Wawro من STO64 School Krakow Poland

وضع الحماية

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مستخدم ما من الوصول إلى أجزاء محمية من نظام الملفات

الوصف: تمت معالجة هذه المشكلة عبر استحقاق جديد.

CVE-2020-9771:‏ ‎Csaba Fitzl (@theevilbit)‎ من Offensive Security

وضع الحماية

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مستخدم محلي من عرض معلومات حساسة خاصة بالمستخدم

الوصف: تمت معالجة مشكلة في الوصول من خلال قيود وضع الحماية الإضافية.

CVE-2020-3918: باحث غير معلوم الهوية وAugusto Alvarez من Outcourse Limited

sudo

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مخترق من تشغيل الأوامر باعتباره مستخدمًا غير موجود

الوصف: تمت معالجة هذه المشكلة من خلال تحديث sudo إلى الإصدار 1.8.31.

CVE-2019-19232

sysdiagnose

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS High Sierra 10.13.6

التأثير: قد يتمكن أحد التطبيقات من تشغيل تشخيص النظام

الوصف: تمت معالجة هذه المشكلة عبر عمليات التحقق المحسّنة

CVE-2020-9786:‏ ‎Dayton Pidhirney (@_watbulb)‎ من ‎Seekintoo (@seekintoo)‎

TCC

متوفر لما يلي: macOS Mojave 10.14.6 وmacOS Catalina 10.15.3

التأثير: قد يتمكن تطبيق متطفل ضار من تجاوز فرض توقيع التعليمات البرمجية

الوصف: تمت معالجة مشكلة منطقية من خلال القيود المحسّنة.

CVE-2020-3906:‏ Patrick Wardle من Jamf

Time Machine

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد يتمكن مستخدم محلي من قراءة ملفات عشوائية

الوصف: تمت معالجة مشكلة تتعلق بالمنطق من خلال الإدارة المحسّنة للحالة.

CVE-2020-3889:‏ Lasse Trolle Borup من Danish Cyber Defence

Vim

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: مشاكل متعددة في Vim

الوصف: تمت معالجة العديد من المشاكل من خلال التحديث إلى الإصدار 8.1.1850.

CVE-2020-9769:‏ Steve Hahn من LinkedIn

WebKit

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد لا تظهر بعض مواقع الويب في "تفضيلات" في Safari

الوصف: تمت معالجة مشكلة منطقية من خلال القيود المحسّنة.

CVE-2020-9787:‏ ‎Ryan Pickren (ryanpickren.com)‎

WebKit

متوفر لما يلي: macOS Catalina 10.15.3

التأثير: قد تؤدي معالجة محتوى ويب متطفل إلى التعرض لهجوم البرمجة النصية بين المواقع

الوصف: تمت معالجة مشكلة متعلقة بالتحقق من صحة الإدخال من خلال التحقق المحسّن من صحة الإدخال.

CVE-2020-3902:‏ ‎Yiğit Can YILMAZ (@yilmazcanyigit)‎

تقدير آخر

CoreText

يسعدنا أن نتوجّه بخالص الشكر إلى باحث غير معلوم الهوية نظير مساعدته لنا.

صوت FireWire

يسعدنا أن نتوجّه بخالص الشكر إلى كل من Xiaolong Bai وMin (Spark) Zheng من Alibaba Inc.‎ وLuyi Xing من Indiana University Bloomington على تقديم المساعدة لنا.

FontParser

يسعدنا أن نتوجّه بخالص الشكر إلى Matthew Denton من Google Chrome على تقديم المساعدة لنا.

المثبّت

يسعدنا أن نتوجّه بخالص الشكر إلى Pris Sears من Virginia Tech وTom Lynch من UAL Creative Computing Institute وباحث مجهول الهوية وباحث مجهول الهوية على تقديم المساعدة لنا.

تثبيت إصدارات قديمة لإطارات العمل

يسعدنا أن نتوجّه بخالص الشكر إلى Pris Sears من Virginia Tech وTom Lynch من UAL Creative Computing Institute وباحث مجهول الهوية على تقديم المساعدة لنا.

LinkPresentation

يسعدنا أن نتوجّه بخالص الشكر إلى Travis على تقديم المساعدة لنا.

OpenSSH

يسعدنا أن نتوجّه بخالص الشكر إلى باحث غير معلوم الهوية نظير مساعدته لنا.

rapportd

يسعدنا أن نتوجّه بخالص الشكر إلى ‎Alexander Heinrich (@Sn0wfreeze)‎ من Technische Universität Darmstadt على تقديم المساعدة لنا.

Sidecar

يسعدنا أن نتوجّه بخالص الشكر إلى ‎Rick Backley (@rback_sec)‎ على تقديم المساعدة لنا.

sudo

يسعدنا أن نتوجّه بخالص الشكر إلى ‎Giorgio Oppo (linkedin.com/in/giorgio-oppo/)‎ على تقديم المساعدة لنا.