Om sikkerhedsindholdet i macOS Catalina 10.15

I dette dokument beskrives sikkerhedsindholdet i macOS Catalina 10.15.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

macOS Catalina 10.15

Udgivet 7. oktober 2019

AMD

Fås til: MacBook (primo 2015 og nyere), MacBook Air (medio 2012 og nyere), MacBook Pro (medio 2012 og nyere), Mac mini (ultimo 2012 og nyere), iMac (ultimo 2012 og nyere), iMac Pro (alle modeller), Mac Pro (ultimo 2013 og nyere)

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8748: Lilang Wu og Moony Li fra Trend Micro Mobile Security Research Team

apache_mod_php

Effekt: Flere problemer i PHP

Beskrivelse: Flere problemer blev løst ved at opdatere til PHP version 7.3.8.

CVE-2019-11041

CVE-2019-11042

Audio

Effekt: Behandling af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8706: Yu Zhou fra Ant-financial Light-Year Security Lab

Post tilføjet 29. oktober 2019

Audio

Effekt: Behandling af et skadeligt lydarkiv kan medføre afsløring af beskyttet hukommelse

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8850: Anonym, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet den 4. december 2019

Books

Effekt: Parsing af et skadeligt iBooks-arkiv kan medføre et vedvarende DoS-problem

Beskrivelse: Et problem med opbrugte ressourcer er løst via forbedret inputvalidering.

CVE-2019-8774: Gertjan Franken fra imec-DistriNet, KU Leuven

Post tilføjet 29. oktober 2019

CFNetwork

Effekt: Behandling af webindhold med skadelig kode kan føre til scriptingangreb på tværs af websteder

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2019-8753: Łukasz Pilorz fra Standard Chartered GBS Poland

Post tilføjet 29. oktober 2019

CoreAudio

Effekt: Behandling af en skadelig film kan medføre afsløring af proceshukommelse

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2019-8705: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

CoreAudio

Effekt: Afspilning af et skadeligt lydarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8592: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 6. november 2019

CoreCrypto

Effekt: Behandling af et stort input kan medføre DoS (Denial of Service)

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret inputvalidering.

CVE-2019-8741: Nicky Mouha fra NIST

Post tilføjet 29. oktober 2019

CoreMedia

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8825: Fundet af GWP-ASan i Google Chrome

Post tilføjet 29. oktober 2019

Crash Reporter

Effekt: Indstillingen "Del Mac-analyse" bliver muligvis ikke deaktiveret, når en bruger fravælger deling af analyse

Beskrivelse: Der fandtes en konkurrencetilstand ved læsning og skrivning af brugerindstillinger. Dette er løst ved forbedret statusbehandling.

CVE-2019-8757: William Cerniuk fra Core Development, LLC

CUPS

Effekt: En hacker i en privilegeret netværksposition kan afsløre følsomme brugeroplysninger

Beskrivelse: Et problem med godkendelse af input er løst via forbedret godkendelse af input.

CVE-2019-8736: Pawel Gocyla fra ING Tech Poland (ingtechpoland.com)

Post tilføjet 29. oktober 2019

CUPS

Effekt: Behandling af streng med skadelig kode kan føre til beskadigelse af heap

Beskrivelse: Et problem med hukommelsesforbrug er løst via forbedret hukommelseshåndtering.

CVE-2019-8767: Stephen Zeisberg

Post tilføjet 29. oktober 2019

CUPS

Effekt: En hacker med en privilegeret position kan muligvis fremkalde et DoS-angreb

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2019-8737: Pawel Gocyla fra ING Tech Poland (ingtechpoland.com)

Post tilføjet 29. oktober 2019

dyld

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8776: Jann Horn fra Google Project Zero

Post tilføjet 3. februar 2020

File Quarantine

Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder

Beskrivelse: Problemet blev løst ved at fjerne den sårbare kode.

CVE-2019-8509: CodeColorist fra Ant-Financial LightYear Labs

Post tilføjet 29. oktober 2019

Foundation

Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2019-8746: natashenka og Samuel Groß fra Google Project Zero

Post tilføjet 29. oktober 2019

Graphics

Effekt: Behandlingen af en skadelig shader kan lede til uventet programlukning eller kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-12152: Piotr Bania fra Cisco Talos

CVE-2018-12153: Piotr Bania fra Cisco Talos

CVE-2018-12154: Piotr Bania fra Cisco Talos

Post tilføjet 29. oktober 2019

IOGraphics

Effekt: En lokal bruger kan muligvis udløse pludselig programlukning eller læsning af kernehukommelsen.

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2019-8759: En anden person fra 360 Nirvan Team

Post tilføjet 29. oktober 2019

Intel Graphics Driver

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8758: Lilang Wu og Moony Li fra Trend Micro

IOGraphics

Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen

Beskrivelse: Et logikproblem er løst via forbedrede begrænsninger.

CVE-2019-8755: Lilang Wu og Moony Li fra Trend Micro

Kernel

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: Problemet er løst ved forbedret godkendelse.

CVE-2019-8703: En anonym programmør

Post tilføjet 16. marts 2021

Kernel

Effekt: En lokal app kan muligvis læse et vedvarende konto-id

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2019-8809: Apple

Post tilføjet 29. oktober 2019

Kernel

Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen

Beskrivelse: Der var et problem med beskadiget hukommelse under behandling af IPv6-pakker. Problemet er løst ved forbedret hukommelsesstyring.

CVE-2019-8744: Zhuo Liang fra Qihoo 360 Vulcan Team

Post tilføjet 29. oktober 2019

Kernel

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8717: Jann Horn fra Google Project Zero

Kernel

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

CVE-2019-8781: Linus Henze (pinauten.de)

Post opdateret 29. oktober 2019

libxml2

Effekt: Flere problemer i libxml2

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8749: Fundet af OSS-Fuzz

CVE-2019-8756: Fundet af OSS-Fuzz

Post tilføjet 29. oktober 2019

libxslt

Effekt: Flere problemer i libxslt

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2019-8750: Fundet af OSS-Fuzz

Post tilføjet 29. oktober 2019

mDNSResponder

Effekt: En hacker, der er tæt på rent fysisk, vil muligvis være i stand til passivt at observere enhedsnavne i forbindelse med AWDL-kommunikation

Beskrivelse: Problemet blev løst ved at erstatte enhedsnavne med en tilfældig identifikator.

CVE-2019-8799: David Kreitschmann og Milan Stute fra Secure Mobile Networking Lab på Technische Universität Darmstadt

Post tilføjet 29. oktober 2019

Menus

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Der var et problem med beskadiget hukommelse, som er løst via forbedret statusadministration.

CVE-2019-8826: Fundet af GWP-ASan i Google Chrome

Post tilføjet 29. oktober 2019

Notes

Effekt: En lokal bruger kan muligvis se en brugers låste noter

Beskrivelse: Indholdet af låste noter vises undertiden i søgeresultater. Problemet blev løst via forbedret oprydning i data.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) fra Virginia Polytechnic Institute and State University

PDFKit

Effekt: En hacker kan muligvis eksfiltrere indholdet i en krypteret PDF

Beskrivelse: Der opstod et problem ved håndteringen af links i krypterede PDF'er. Problemet er løst ved at indsætte en bekræftelsesdialog.

CVE-2019-8772: Jens Müller fra Ruhr University Bochum, Fabian Ising fra FH Münster University of Applied Sciences, Vladislav Mladenov fra Ruhr University Bochum, Christian Mainka fra Ruhr University Bochum, Sebastian Schinzel fra FH Münster University of Applied Sciences og Jörg Schwenk fra Ruhr University Bochum

PluginKit

Effekt: En lokal bruger kan muligvis tjekke, om der findes arbitrære arkiver

Beskrivelse: Et logikproblem er løst via forbedrede begrænsninger.

CVE-2019-8708: En anonym programmør

Post tilføjet 29. oktober 2019

PluginKit

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8715: En anonym programmør

Post tilføjet 29. oktober 2019

Sandbox

Effekt: Et skadeligt program kan muligvis få adgang til begrænsede arkiver

Beskrivelse: Et adgangsproblem er løst med yderligere sandbox-begrænsninger.

CVE-2019-8855: Apple

Post tilføjet 18. december 2019

SharedFileList

Effekt: Et skadeligt program kan muligvis få adgang til de seneste dokumenter

Beskrivelse: Problemet er løst med forbedret tilladelseslogik.

CVE-2019-8770: Stanislav Zinukhov fra Parallels International GmbH

sips

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8701: Simon Huang (@HuangShaomang), Rong Fan (@fanrong1992) og pjf fra IceSword Lab hos Qihoo 360

UIFoundation

Effekt: Parsing af et skadeligt tekstarkiv kan medføre afsløring af brugeroplysninger

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2019-8761: Renee Trisberg fra SpectX

Post opdateret 10. august 2020, opdateret 21. juli 2021

UIFoundation

Effekt: Behandling af et skadeligt tekstarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Der var et problem med bufferoverløb, som blev løst gennem forbedret kontrol af grænser.

CVE-2019-8745: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

UIFoundation

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2019-8831: riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 18. november 2019

WebKit

Effekt: Et besøg på et skadeligt websted kan afsløre browserhistorikken

Beskrivelse: Der opstod et problem med tegning af webstedselementer. Problemet er løst med forbedret logik.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Effekt: En bruger kan muligvis ikke slette emner i browserhistorikken

Beskrivelse: Historikken blev ikke ryddet med "Ryd historik og webstedsdata". Problemet er løst ved forbedret datasletning.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Wi-Fi

Effekt: En enhed kan muligvis spores passivt via enhedens Wi-Fi-MAC-adresse

Beskrivelse: Et problem med brugeranonymitet er løst ved at fjerne den udsendende MAC-adresse.

CVE-2019-8854: FuriousMacTeam fra United States Naval Academy og Mitre Cooperation, Ta-Lun Yen fra UCCU Hacker

Post tilføjet 4. december 2019, opdateret 18. december 2019

Yderligere anerkendelser

AppleRTC

Vi vil gerne takke Vitaly Cheptsov for hjælpen.

Post tilføjet 29. oktober 2019

Audio

Vi vil gerne takke riusksk fra VulWar Corp, der arbejder med Trend Micros Zero Day Initiative, for hjælpen.

Post tilføjet 29. oktober 2019

boringssl

Vi vil gerne takke Nimrod Aviram fra Tel Aviv University, Robert Merget fra Ruhr University Bochum, Juraj Somorovsky fra Ruhr University Bochum og Thijs Alkemade (@xnyhps) fra Computest for hjælpen.

Post tilføjet 8. oktober 2019, opdateret 29. oktober 2019

curl

Vi vil gerne takke Joseph Barisa fra School District of Philadelphia for hjælpen.

Post tilføjet 3. februar 2020, opdateret 11. februar 2020

Finder

Vi vil gerne takke Csaba Fitzl (@theevilbit) for hjælpen.

Gatekeeper

Vi vil gerne takke Csaba Fitzl (@theevilbit) for hjælpen.

Identity Service

Vi vil gerne takke Yiğit Can YILMAZ (@yilmazcanyigit) for hjælpen.

Post tilføjet 29. oktober 2019

Kernel

Vi vil gerne takke Brandon Azad fra Google Project Zero og Vlad Tsyrklevich for hjælpen.

Post opdateret d. 28. juli 2020

Local Authentication

Vi vil gerne takke Ryan Lopopolo for hjælpen.

Post tilføjet 3. februar 2020

mDNSResponder

Vi vil gerne takke Gregor Lang fra e.solutions GmbH for hjælpen.

Post tilføjet 29. oktober 2019

python

Vi vil gerne takke en anonym programmør for hjælpen.

Post tilføjet 29. oktober 2019

Safari Data Importing

Vi vil gerne takke Kent Zoya for hjælpen.

Security

Vi vil gerne takke Pepijn Dutour Geerling (pepijn.io) og en anonym programmør for hjælpen.

Post tilføjet 18. november 2019

Simple certificate enrollment protocol (SCEP)

Vi vil gerne takke en anonym programmør for hjælpen.

Siri

Vi vil gerne takke Yuval Ron, Amichai Shulman og Eli Biham fra Technion ved Israel Institute of Technology for hjælpen.

Post tilføjet 4. december 2019, opdateret 18. december 2019

Telephony

Vi vil gerne takke Phil Stokes fra SentinelOne for hjælpen.

VPN

Vi vil gerne takke Royce Gawron fra Second Son Consulting, Inc. for hjælpen.

Post tilføjet 29. oktober 2019

Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.

Udgivelsesdato: 06. november 2023