Informace o bezpečnostních aktualizacích Apple
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.
Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.
Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.
visionOS 1.2
Vydáno 10. června 2024
CoreMedia
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27817: pattern-f (@pattern_F_) z týmu Ant Security Light-Year Lab
CoreMedia
K dispozici pro: Apple Vision Pro
Dopad: Zpracování souboru může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2024-27831: Amir Bazine a Karsten König ze společnosti CrowdStrike Counter Adversary Operations
Disk Images
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27832: anonymní výzkumník
Foundation
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27801: Tým CertiK SkyFall
ImageIO
K dispozici pro: Apple Vision Pro
Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27836: Junsung Lee ve spolupráci s iniciativou Trend Micro Zero Day Initiative
IOSurface
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém byl vyřešen vylepšením zpracování paměti.
CVE-2024-27828: Pan ZhenPeng (@Peterpan0927) ze společnosti STAR Labs SG Pte. Ltd.
Kernel
K dispozici pro: Apple Vision Pro
Dopad: Útočník, kterému se podařilo spustit kód jádra, může obejít ochranu paměti jádra.
Popis: Problém byl vyřešen vylepšením zpracování paměti.
CVE-2024-27840: anonymní výzkumník
Kernel
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.
Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2024-27815: Anonymní výzkumník a Joseph Ravichandran (@0xjprx) ze společnosti MIT CSAIL
libiconv
K dispozici pro: Apple Vision Pro
Dopad: Aplikaci se může podařit navýšit si oprávnění.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27811: Nick Wellnhofer
Messages
K dispozici pro: Apple Vision Pro
Dopad: Zpracování škodlivé zprávy může vést k odmítnutí služby.
Popis: Problém byl vyřešen odebráním zranitelného kódu.
CVE-2024-27800: Daniel Zajork a Joshua Zajork
Metal
K dispozici pro: Apple Vision Pro
Dopad: Zpracování škodlivého souboru může vést k nečekanému ukončení aplikace nebo ke spuštění libovolného kódu.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2024-27802: Meysam Firouzi (@R00tkitsmm) ve spolupráci s iniciativou Trend Micro Zero Day Initiative
Metal
K dispozici pro: Apple Vision Pro
Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.
Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.
CVE-2024-27857: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro
Safari
K dispozici pro: Apple Vision Pro
Dopad: Dialog oprávnění webové stránky může zůstat zobrazený po opuštění webu.
Popis: Problém byl vyřešen vylepšením kontroly.
CVE-2024-27844: Narendra Bhati ze společnosti Suma Soft Pvt. Ltd v Pune (Indie), Shaheen Fazim
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Škodlivému webu se může podařit vytvořit reprezentaci uživatele.
Popis: Problém byl vyřešen přidáním další logiky.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos ze společnosti Mozilla
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Zpracování obsahu webové stránky může vést ke spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením zpracování paměti.
WebKit Bugzilla: 268221
CVE-2024-27808: Lukas Bernhard z CISPA Helmholtz Center for Information Security
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Zpracování webového obsahu může vést k odepření služby.
Popis: Problém v logice byl vyřešen vylepšením zpracování souborů.
CVE-2024-27812: Ryan Pickren (ryanpickren.com)
Záznam aktualizován 20. června 2024
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Škodlivému webu se může podařit vytvořit reprezentaci uživatele.
Popis: Tento problém byl vyřešen vylepšením algoritmu vložení šumu.
WebKit Bugzilla: 270767
CVE-2024-27850: anonymní výzkumník
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.
Popis: Chyba s přetečením celého čísla byla vyřešena vylepšením ověřování vstupů.
WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp) ve spolupráci s Trend Micro Zero Day Initiative
WebKit
K dispozici pro: Apple Vision Pro
Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením kontroly rozsahu.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13) z organizace 360 Vulnerability Research Institute
WebKit Canvas
K dispozici pro: Apple Vision Pro
Dopad: Škodlivému webu se může podařit vytvořit reprezentaci uživatele.
Popis: Problém byl vyřešen vylepšením správy stavů.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387) ze společnosti Crawless a @abrahamjuliot
WebKit Web Inspector
K dispozici pro: Apple Vision Pro
Dopad: Zpracování obsahu webové stránky může vést ke spuštění libovolného kódu.
Popis: Problém byl vyřešen vylepšením zpracování paměti.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson z underpassapp.com
Další poděkování
ImageIO
Poděkování za pomoc zaslouží anonymní výzkumník.
Transparency
Poděkování za pomoc zaslouží Mickey Jin (@patch1t).