Informace o bezpečnostních aktualizacích Apple
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.
Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.
Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.
macOS Big Sur 11.6.6
Vydáno 16. května 2022
apache
K dispozici pro: macOS Big Sur
Dopad: Několik problémů v softwaru Apache.
Popis: Několik problémů bylo vyřešeno aktualizováním softwaru Apache na verzi 2.4.53.
CVE-2021-44224
CVE-2021-44790
CVE-2022-22719
CVE-2022-22720
CVE-2022-22721
AppKit
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.
Popis: Problém v logice byl vyřešen vylepšením ověřování.
CVE-2022-22665: Lockheed Martin Red Team
AppleAVD
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru. Apple má informace o tom, že tento problém mohl být aktivně zneužit.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2022-22675: anonymní výzkumník
AppleEvents
K dispozici pro: macOS Big Sur
Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2022-22630: Jeremy Brown ve spolupráci se Zero Day Initiative společnosti Trend Micro
Záznam přidán 8. června 2023
AppleGraphicsControl
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26751: Michael DePlante (@izobashi) z Trend Micro Zero Day Initiative
AppleScript
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého binárního souboru AppleScriptu může vést k neočekávanému ukončení aplikace nebo odhalení paměti procesu.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2022-26698: Qi Sun z týmu Trend Micro, Ye Zhang (@co0py_Cat) z Baidu Security
Záznam aktualizován 6. července 2022
AppleScript
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého binárního souboru AppleScriptu může vést k neočekávanému ukončení aplikace nebo odhalení paměti procesu.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26697: Qi Sun a Robert Ai z týmu Trend Micro
CoreTypes
K dispozici pro: macOS Big Sur
Dopad: Škodlivá aplikace může obejít kontroly funkce Gatekeeper.
Popis: Problém byl vyřešen vylepšením kontrol, aby se zabránilo neautorizovaným akcím.
CVE-2022-22663: Arsenii Kostromin (0x3c3e)
CVMS
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.
Popis: Byl vyřešen problém s inicializací paměti.
CVE-2022-26721: Yonghwi Jin (@jinmo123) z Theori
CVE-2022-26722: Yonghwi Jin (@jinmo123) z Theori
DriverKit
K dispozici pro: macOS Big Sur
Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.
Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.
CVE-2022-26763: Linus Henze ze společnosti Pinauten GmbH (pinauten.de)
Graphics Drivers
K dispozici pro: macOS Big Sur
Dopad: Místnímu uživateli se může podařit číst paměť jádra.
Popis: Existoval problém se čtením mimo rozsah, který vedl k odhalení paměti jádra. Problém byl vyřešen vylepšením ověřování vstupů.
CVE-2022-22674: anonymní výzkumník
Intel Graphics Driver
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2022-26720: Liu Long z týmu Ant Security Light-Year Lab
Intel Graphics Driver
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26770: Liu Long z týmu Ant Security Light-Year Lab
Intel Graphics Driver
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26756: Jack Dates ze společnosti RET2 Systems, Inc
Intel Graphics Driver
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26769: Antonio Zekic (@antoniozekic)
Intel Graphics Driver
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26748: Jeonghoon Shin z týmu Theori ve spolupráci s týmem Trend Micro Zero Day Initiative
IOMobileFrameBuffer
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.
CVE-2022-26768: anonymní výzkumník
Kernel
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2022-26714: Peter Nguyễn Vũ Hoàng (@peternguyen14) ze STAR Labs (@starlabs_sg)
Kernel
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2022-26757: Ned Williamson z týmu Google Project Zero
LaunchServices
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit obejít určité předvolby soukromí
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2021-30946: @gorelics a Ron Masas z BreakPoint.sh
Záznam přidán 8. června 2023
LaunchServices
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit obejít předvolby soukromí.
Popis: Problém byl vyřešen dalšími kontrolami oprávnění.
CVE-2022-26767: Wojciech Reguła (@_r3ggi) ze společnosti SecuRing
LaunchServices
K dispozici pro: macOS Big Sur
Dopad: Procesu běžícímu v sandboxu se může podařit obejít omezení sandboxu.
Popis: Problém s přístupem byl vyřešen přidáním dalších omezení sandboxu pro aplikace jiných vývojářů.
CVE-2022-26706: Arsenii Kostromin (0x3c3e), Jonathan Bar Or z Microsoftu
Záznam aktualizován 6. července 2022
Libinfo
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit obejít předvolby soukromí.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-32882: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) z týmu Tencent Security Xuanwu Lab
Záznam přidán 16. září 2022
libresolv
K dispozici pro: macOS Big Sur
Dopad: Vzdálenému uživateli se může podařit způsobit odmítnutí služby.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-32790: Max Shavrick (@_mxms) z týmu Google Security
Záznam přidán 21. června 2022
libresolv
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit způsobit neočekávané ukončení aplikace nebo spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-26776: Zubair Ashraf z týmu Crowdstrike, Max Shavrick (@_mxms) z bezpečnostního týmu Google
LibreSSL
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého certifikátu může vést k odmítnutí služby.
Popis: Problém s odmítnutím služby byl vyřešen vylepšením ověřování vstupů.
CVE-2022-0778
libxml2
K dispozici pro: macOS Big Sur
Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2022-23308
OpenSSL
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého certifikátu může vést k odmítnutí služby.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-0778
PackageKit
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2022-32794: Mickey Jin (@patch1t)
Záznam přidán 4. října 2022
PackageKit
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit upravit chráněné části souborového systému.
Popis: Problém byl vyřešen odebráním zranitelného kódu.
CVE-2022-26712: Mickey Jin (@patch1t)
Printing
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit obejít předvolby soukromí.
Popis: Problém byl vyřešen odebráním zranitelného kódu.
CVE-2022-26746: @gorelics
Safari Private Browsing
K dispozici pro: macOS Big Sur
Dopad: Škodlivému webu se může podařit sledovat uživatele Safari, kteří mají zapnuté anonymní prohlížení.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2022-26731: anonymní výzkumník
Záznam přidán 6. července 2022
Security
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit obejít ověření podpisu.
Popis: Problém s analýzou certifikátů byl vyřešen vylepšením kontrol.
CVE-2022-26766: Linus Henze ze společnosti Pinauten GmbH (pinauten.de)
SMB
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupu.
CVE-2022-26718: Peter Nguyễn Vũ Hoàng ze společnosti STAR Labs
SMB
K dispozici pro: macOS Big Sur
Dopad: Připojení záměrně vytvořeného škodlivého sdíleného disku Samba může vést ke spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.
CVE-2022-26723: Felix Poulin-Belanger
SMB
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením kontroly rozsahu.
CVE-2022-26715: Peter Nguyễn Vũ Hoàng ze společnosti STAR Labs
SoftwareUpdate
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit získat přístup k omezeným souborům.
Popis: Problém byl vyřešen vylepšením oprávnění.
CVE-2022-26728: Mickey Jin (@patch1t)
TCC
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit zachytit obrazovku uživatele.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-26726: Antonio Cheong Yu Xuan z týmu YCISCQ
Záznam aktualizován 8. června 2023
Tcl
K dispozici pro: macOS Big Sur
Dopad: Škodlivé aplikaci se může podařit dostat se ze sandboxu.
Popis: Problém byl vyřešen vylepšením sanitizace prostředí.
CVE-2022-26755: Arsenii Kostromin (0x3c3e)
Vim
K dispozici pro: macOS Big Sur
Dopad: Několik problémů v součásti Vim.
Popis: Několik problémů bylo vyřešeno aktualizováním součásti Vim.
CVE-2021-4136
CVE-2021-4166
CVE-2021-4173
CVE-2021-4187
CVE-2021-4192
CVE-2021-4193
CVE-2021-46059
CVE-2022-0128
WebKit
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého e‑mailu může vést ke spuštění libovolného javascriptu.
Popis: Problém s ověřováním byl vyřešen vylepšením sanitizace vstupů.
CVE-2022-22589: Heige z týmu KnownSec 404 (knownsec.com) a Bo Qu ze společnosti Palo Alto Networks (paloaltonetworks.com)
Wi-Fi
K dispozici pro: macOS Big Sur
Dopad: Škodlivá aplikace může odhalit vyhrazenou paměť.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.
CVE-2022-26745: Scarlet Raine
Záznam aktualizován 6. července 2022
Wi-Fi
K dispozici pro: macOS Big Sur
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.
CVE-2022-26761: Wang Yu z Cyberservalu
zip
K dispozici pro: macOS Big Sur
Dopad: Zpracování škodlivého souboru může vést k odmítnutí služby.
Popis: Problém s odmítnutím služby byl vyřešen vylepšením správy stavu.
CVE-2022-0530
zlib
K dispozici pro: macOS Big Sur
Dopad: Útočníkovi se může podařit způsobit neočekávané ukončení aplikace nebo spuštění libovolného kódu.
Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.
CVE-2018-25032: Tavis Ormandy
zsh
K dispozici pro: macOS Big Sur
Dopad: Vzdálenému útočníkovi se může podařit spustit libovolný kód.
Popis: Problém byl vyřešen aktualizováním softwaru zsh na verzi 5.8.1.
CVE-2021-45444
Další poděkování
Bluetooth
Poděkování za pomoc zaslouží Jann Horn z týmu Project Zero.