Informace o bezpečnostním obsahu macOS Big Sur 11.6.8

Tento dokument popisuje bezpečnostní obsah macOS Big Sur 11.6.8.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

macOS Big Sur 11.6.8

APFS

K dispozici pro: macOS Big Sur

Dopad: Aplikaci s kořenovými oprávněními se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2022-32832: Tommy Muir (@Muirey03)

AppleMobileFileIntegrity

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit získat oprávnění root.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2022-32826: Mickey Jin (@patch1t) ze společnosti Trend Micro

AppleScript

K dispozici pro: macOS Big Sur

Dopad: Zpracování škodlivého binárního souboru AppleScriptu může vést k neočekávanému ukončení nebo odhalení paměti procesu.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2022-32797: Mickey Jin (@patch1t), Ye Zhang (@co0py_Cat) z Baidu Security, Mickey Jin (@patch1t) z Trend Micro

AppleScript

K dispozici pro: macOS Big Sur

Dopad: Zpracování škodlivého binárního souboru AppleScriptu může vést k neočekávanému ukončení nebo odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2022-32853: Ye Zhang (@co0py_Cat) z Baidu Security

CVE-2022-32851: Ye Zhang (@co0py_Cat) z Baidu Security

AppleScript

K dispozici pro: macOS Big Sur

Dopad: Zpracování škodlivého binárního souboru AppleScriptu může vést k neočekávanému ukončení nebo odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2022-32831: Ye Zhang (@co0py_Cat) z Baidu Security

Archive Utility

K dispozici pro: macOS Big Sur

Dopad: Archiv může být schopen obejít Gatekeeper.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2022-32910: Ferdous Saljooki (@malwarezoo) ze společnosti Jamf Software

Audio

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit odhalit obsah paměti jádra.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2022-32825: John Aakerblom (@jaakerblom)

Audio

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2022-32820: anonymní výzkumník

Calendar

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen vylepšením zpracování mezipamětí.

CVE-2022-32805: Csaba Fitzl (@theevilbit) ze společnosti Offensive Security

Calendar

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s odhalením informací byl vyřešen odstraněním škodlivého kódu.

CVE-2022-32849: Joshua Jones

CoreText

K dispozici pro: macOS Big Sur

Dopad: Vzdálený uživatel může způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

Popis: Problém byl vyřešen vylepšením kontroly rozsahu.

CVE-2022-32839: STAR Labs (@starlabs_sg)

FaceTime

K dispozici pro: macOS Big Sur

Dopad: Aplikaci s kořenovými oprávněními se může podařit získat přístup k soukromým informacím.

Popis: Tento problém byl vyřešen povolením nastavení Hardened Runtime.

CVE-2022-32781: Wojciech Reguła (@_r3ggi) ze společnosti SecuRing

File System Events

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit získat oprávnění root.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2022-32819: Joshua Mason z týmu Mandiant

ICU

K dispozici pro: macOS Big Sur

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2022-32787: Dohyun Lee (@l33d0hyun) z týmu SSD Secure Disclosure Labs & DNSLab, Korea Univ.

ImageIO

K dispozici pro: macOS Big Sur

Dopad: Zpracování obrázku může vést k odepření služby.

Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování.

CVE-2022-32785: Yiğit Can YILMAZ (@yilmazcanyigit)

Intel Graphics Driver

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2022-32812: Yinyi Wu (@3ndy1), ABC Research s.r.o.

Intel Graphics Driver

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Bezpečnostní slabina spočívající v poškození paměti byla vyřešena vylepšením zamykání.

CVE-2022-32811: ABC Research s.r.o

Kernel

K dispozici pro: macOS Big Sur

Dopad: Aplikaci s kořenovými oprávněními se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2022-32815: Xinru Chi z Pangu Lab

CVE-2022-32813: Xinru Chi z Pangu Lab

LaunchServices

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit obejít určité předvolby soukromí

Popis: Problém v logice byl vyřešen vylepšením omezení.

CVE-2021-30946: @gorelics a Ron Masas z BreakPoint.sh

libxml2

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit odhalit citlivé údaje o uživateli.

Popis: Problém s inicializací paměti byl vyřešen vylepšením správy paměti.

CVE-2022-32823

Multi-Touch

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2022-32814: Pan ZhenPeng (@Peterpan0927)

Multi-Touch

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém se záměnou typů byl vyřešen vylepšením správy stavů.

CVE-2022-32814: Pan ZhenPeng (@Peterpan0927)

PackageKit

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit upravit chráněné části souborového systému.

Popis: Problém se zpracováním proměnných prostředí byl vyřešen zlepšením ověřování.

CVE-2022-32786: Mickey Jin (@patch1t)

PackageKit

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit upravit chráněné části souborového systému.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2022-32800: Mickey Jin (@patch1t)

PluginKit

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit číst libovolné soubory.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2022-32838: Mickey Jin (@patch1t) ze společnosti Trend Micro

PS Normalizer

K dispozici pro: macOS Big Sur

Dopad: Zpracování škodlivého postscriptového souboru může vést k neočekávanému ukončení nebo odhalení paměti procesu.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2022-32843: Kai Lu z týmu Zscaler's ThreatLabz

Software Update

K dispozici pro: macOS Big Sur

Dopad: Uživatel s vysokými oprávněními v síti může sledovat uživatelovu aktivitu.

Popis: Tento problém byl vyřešen použitím protokolu HTTPS při odesílání informací přes síť.

CVE-2022-32857: Jeffrey Paul (sneak.berlin)

Spindump

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit přepisovat libovolné soubory.

Popis: Problém byl vyřešen vylepšením zpracovávání souborů.

CVE-2022-32807: Zhipeng Huo (@R3dF09) z týmu Tencent Security Xuanwu Lab

Spotlight

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém se zpracováním symbolických odkazů byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2022-26704: Joshua Mason z týmu Mandiant

TCC

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém s přístupem byl vyřešen vylepšením sandboxu.

CVE-2022-32834: Xuxiang Yang (@another1024) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com), Yuebin Sun (@yuebinsun2020) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com), Zhipeng Huo (@R3dF09) z týmu Tencent Security Xuanwu Lab (xlab.tencent.com)

Vim

K dispozici pro: macOS Big Sur

Dopad: Několik problémů v součásti Vim.

Popis: Několik problémů bylo vyřešeno aktualizováním součásti Vim.

CVE-2022-0156

CVE-2022-0158

Wi-Fi

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními jádra

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2022-32860: Wang Yu z týmu Cyberserval

Wi-Fi

K dispozici pro: macOS Big Sur

Dopad: Vzdálenému uživateli se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2022-32847: Wang Yu z Cyberservalu

Windows Server

K dispozici pro: macOS Big Sur

Dopad: Aplikaci se může podařit zaznamenávat obrazovku uživatele.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2022-32848: Jeremy Legendre z týmu MacEnhance

Další poděkování

Calendar

Poděkování za cennou pomoc zaslouží Joshua Jones.