Informace o bezpečnostním obsahu macOS Catalina 10.15

Tento dokument popisuje bezpečnostní obsah aktualizace macOS Catalina 10.15.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

macOS Catalina 10.15

Vydáno 7. října 2019

AMD

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2019-8748: Lilang Wu a Moony Li z týmu TrendMicro Mobile Security Research

apache_mod_php

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Několik problémů v PHP.

Popis: Několik problémů bylo vyřešeno aktualizováním PHP na verzi 7.3.8.

CVE-2019-11041

CVE-2019-11042

CoreAudio

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Zpracování škodlivého filmu může vést k odhalení procesní paměti.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2019-8705: riusksk ze společnosti VulWar Corp ve spolupráci se Zero Day Initiative společnosti Trend Micro

Oznamovatel pádů softwaru

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Když uživatel zruší výběr přepínače sdílení dat analýzy, nemusí se vypnout nastavení Sdílet data analýzy Macu.

Popis: Při čtení a zápisu předvoleb uživatele existoval problém se souběhem. Problém byl vyřešen vylepšením zpracovávání stavů.

CVE-2019-8757: William Cerniuk ze společnosti Core Development, LLC

Ovladač grafiky Intel

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Aplikaci se může podařit spustit libovolný kód se systémovými oprávněními.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2019-8758: Lilang Wu a Moony Li ze společnosti Trend Micro

IOGraphics

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Škodlivé aplikaci se může podařit rozpoznat rozvržení jádra.

Popis: Problém v logice byl vyřešen vylepšením omezení.

CVE-2019-8755: Lilang Wu a Moony Li ze společnosti Trend Micro

Jádro

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2019-8717: Jann Horn z týmu Google Project Zero

Jádro

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2019-8781: Linus Henze (pinauten.de)

Poznámky

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Místnímu uživateli se může podařit odhalit uživatelovy zamčené poznámky.

Popis: Ve výsledcích vyhledávání se někdy zobrazoval obsah zamčených poznámek. Problém byl vyřešen vylepšením čištění dat.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) z Virginského polytechnického institutu a státní univerzity

PDFKit

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Útočníkovi může podařit zjistit obsah zašifrovaného PDF souboru.

Popis: Existoval problém ve zpracovávání odkazů v zašifrovaných PDF souborech. Problém byl vyřešen přidáním výzvy k potvrzení.

CVE-2019-8772: Jens Müller z Porúrské univerzity v Bochumu, Fabian Ising z Münsterské univerzity aplikovaných věd, Vladislav Mladenov z Porúrské univerzity v Bochumu, Christian Mainka z Porúrské univerzity v Bochumu, Sebastian Schinzel z Münsterské univerzity aplikovaných věd a Jörg Schwenk z Porúrské univerzity v Bochumu

SharedFileList

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Škodlivé aplikaci se může podařit získat přístup k posledním dokumentům.

Popis: Problém byl vyřešen vylepšením logiky oprávnění.

CVE-2019-8770: Stanislav Zinukhov ze společnosti Parallels International GmbH

sips

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Aplikaci se může podařit spustit libovolný kód se systémovými oprávněními.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2019-8701: Simon Huang(@HuangShaomang), Rong Fan(@fanrong1992) a pjf z týmu IceSword Lab společnosti Qihoo 360

UIFoundation

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Zpracování škodlivého textového souboru může vést ke spuštění libovolného kódu.

Popis: Problém s přetečením zásobníku byl vyřešen vylepšením kontroly rozsahu.

CVE-2019-8745: riusksk ze společnosti VulWar Corp ve spolupráci se Zero Day Initiative společnosti Trend Micro

WebKit

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Návštěva škodlivého webu může odhalit historii prohlížení

Popis: Existoval problém ve vykreslování prvků webových stránek. Problém byl vyřešen vylepšením logiky.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

MacBook (začátek roku 2015 nebo novější), MacBook Air (polovina roku 2012 nebo novější), MacBook Pro (polovina roku 2012 nebo novější), Mac mini (konec roku 2012 nebo novější), iMac (konec roku 2012 nebo novější), iMac Pro (všechny modely), Mac Pro (konec roku 2013 nebo novější)

Dopad: Uživateli nemusí fungovat mazání položek z historie prohlížeče.

Popis: Volba „Smazat historii a data stránek“ nemazala historii. Problém byl vyřešen vylepšením mazání dat.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Další poděkování

Finder

Poděkování za pomoc zaslouží Csaba Fitzl (@theevilbit).

Gatekeeper

Poděkování za pomoc zaslouží Csaba Fitzl (@theevilbit).

Import dat Safari

Poděkování za pomoc zaslouží Kent Zoya.

Protokol SCEP (Simple Certificate Enrollment Protocol)

Poděkování za pomoc zaslouží anonymní výzkumník.

Telefonování

Poděkování za pomoc zaslouží Phil Stokes ze společnosti SentinelOne.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: