Om sikkerhedsindholdet i macOS Mojave 10.14.1, sikkerhedsopdatering 2018-002 High Sierra, sikkerhedsopdatering 2018-005 Sierra

Dette dokument beskriver sikkerhedsindholdet i macOS Mojave 10.14.1, sikkerhedsopdatering 2018-002 High Sierra, sikkerhedsopdatering 2018-005 Sierra.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed. Du kan kryptere din kommunikation med Apple ved hjælp af PGP-nøglen til Apple-produktsikkerhed.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

macOS Mojave 10.14.1, sikkerhedsopdatering 2018-002 High Sierra og sikkerhedsopdatering 2018-005 Sierra

afpserver

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En ekstern hacker kan muligvis angribe AFP-servere via HTTP-klienter

Beskrivelse: Et problem med godkendelse af input er løst via forbedret godkendelse af input.

CVE-2018-4295: Jianjun Chen (@whucjj) fra Tsinghua University og UC Berkeley

AppleGraphicsControl

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4410: En anonym programmør, der arbejder med Trend Micros Zero Day Initiative

AppleGraphicsControl

Fås til: macOS High Sierra 10.13.6

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2018-4417: Lee fra Information Security Lab Yonsei University, som arbejder sammen med Trend Micro's Zero Day Initiative

APR

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Der var flere problemer med bufferoverløb i Perl

Beskrivelse: Flere problemer i Perl er løst med forbedret hukommelseshåndtering.

CVE-2017-12613: Craig Young fra Tripwire VERT

CVE-2017-12618: Craig Young fra Tripwire VERT

ATS

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4411: lilang wu moony Li fra Trend Micro, der arbejder sammen med Trend Micro's Zero Day Initiative

ATS

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2018-4308: Mohamed Ghannam (@_simo36)

Automator

Fås til: macOS Mojave 10.14

Effekt: Et skadeligt program kan muligvis få adgang til begrænsede arkiver

Beskrivelse: Problemet blev løst, ved at ekstra rettigheder blev fjernet.

CVE-2018-4468: Jeff Johnson fra underpassapp.com

CFNetwork

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4126: Bruno Keith (@bkth_), som arbejder med Trend Micro's Zero Day Initiative

CoreAnimation

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4415: Liang Zhuo, der arbejder med Beyond Securitys SecuriTeam Secure Disclosure

CoreCrypto

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: En person med ondsindede hensigter kan måske udnytte svagheder i Miller-Rabin-testen til at identificere primtal ukorrekt

Beskrivelse: Der var et problem med metoden til bestemmelse af primtal. Dette problem er løst ved at bruge pseudotilfældige baser til test af primtal.

CVE-2018-4398: Martin Albrecht, Jake Massimo og Kenny Paterson fra Royal Holloway, University of London, og Juraj Somorovsky fra Ruhr University, Bochum

CoreFoundation

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4412: Storbritanniens National Cyber Security Centre (NCSC)

CUPS

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: I visse konfigurationer kan en ekstern hacker muligvis erstatte beskedens indhold fra printserveren med vilkårligt indhold

Beskrivelse: Et problem med indsættelse er løst via forbedret godkendelse.

CVE-2018-4153: Michael Hanselmann fra hansmi.ch

CUPS

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En hacker med en privilegeret position kan muligvis fremkalde et DoS-angreb

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2018-4406: Michael Hanselmann fra hansmi.ch

Ordbog

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Parsing af et skadeligt ordbogsarkiv kan muligvis medføre afsløring af brugeroplysninger

Beskrivelse: Der var et valideringsproblem, som tillod adgang til lokale arkiver. Problemet er løst ved hjælp af rensning af input.

CVE-2018-4346: Wojciech Reguła (@_r3ggi) fra SecuRing

Dok

Fås til: macOS Mojave 10.14

Effekt: Et skadeligt program kan muligvis få adgang til begrænsede arkiver

Beskrivelse: Problemet blev løst, ved at ekstra rettigheder blev fjernet.

CVE-2018-4403: Patrick Wardle fra Digita Security

dyld

Fås til: macOS High Sierra 10.13.6, macOS Mojave 10.14, macOS Sierra 10.12.6

Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder

Beskrivelse: Et logikproblem er løst via forbedret godkendelse.

CVE-2018-4423: Youfu Zhang fra Chaitin Security Research Lab (@ChaitinTech)

EFI

Fås til: macOS High Sierra 10.13.6

Effekt: Systemer med mikroprocessorer, der udnytter spekulativ eksekvering og spekulativ udførelse af hukommelseslæsninger, inden adresserne for alle tidligere hukommelsesskrivninger kendes, kan muligvis tillade uautoriseret afsløring af oplysninger for en hacker med lokal brugeradgang gennem analyse via en sidekanal

Beskrivelse: Et problem med afsløring af oplysninger er løst med en opdatering af mikrokoden. Dette sikrer, at ældre data, der er læst fra adresser, der for nylig er skrevet til, ikke kan læses via en spekulativ sidekanal.

CVE-2018-3639: Jann Horn (@tehjh) fra Google Project Zero (GPZ), Ken Johnson fra Microsoft Security Response Center (MSRC)

EFI

Fås til: macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: En lokal bruger kan muligvis ændre beskyttede dele af arkivsystemet

Beskrivelse: Der var et konfigurationsproblem, som er løst ved yderligere begrænsninger.

CVE-2018-4342: Timothy Perfitt fra Twocanoes Software

Foundation

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Behandling af et skadeligt tekstarkiv kan medføre et DoS-angreb

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2018-4304: jianan.huang (@Sevck)

Grand Central Dispatch

Fås til: macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4426: Brandon Azad

Heimdal

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4331: Brandon Azad

Hypervisor

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Systemer med mikroprocessorer, der udnytter spekulativ eksekvering og adresseoversættelser, kan muligvis tillade uautoriseret afsløring af oplysninger i L1-datacachen for en hacker med lokal brugeradgang og OS-privilegier som gæst via en fejl på terminalsiden og en analyse via en sidekanal

Beskrivelse: Et problem med afsløring af oplysninger er løst ved at rydde L1-datacachen på virtuelt maskinniveau.

CVE-2018-3646: Baris Kasikci, Daniel Genkin, Ofir Weisse og Thomas F. Wenisch fra University of Michigan, Mark Silberstein og Marina Minkin fra Technion, Raoul Strackx, Jo Van Bulck og Frank Piessens fra KU Leuven, Rodrigo Branco, Henrique Kawakami, Ke Sun og Kekai Hu fra Intel Corporation, Yuval Yarom fra University of Adelaide

Hypervisor

Fås til: macOS Sierra 10.12.6

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er blevet rettet gennem forbedret låsning.

CVE-2018-4242: Zhuo Liang fra Qihoo 360 Nirvan Team

ICU

Fås til: macOS High Sierra 10.13.6, macOS Mojave 10.14, macOS Sierra 10.12.6

Effekt: Behandling af streng med skadelig kode kan føre til beskadigelse af heap

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4394: Erik Verbruggen fra The Qt Company

Intel Graphics Driver

Fås til: macOS Sierra 10.12.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4334: Ian Beer fra Google Project Zero

Intel Graphics Driver

Fås til: macOS High Sierra 10.13.6

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2018-4396: Yu Wang fra Didi Research America

CVE-2018-4418: Yu Wang fra Didi Research America

Intel Graphics Driver

Fås til: macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4350: Yu Wang fra Didi Research America

Intel Graphics Driver

Fås til: macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.

CVE-2018-4421: Tyler Bohan fra Cisco Talos

IOGraphics

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4422: En anonym programmør, som arbejder med Trend Micros Zero Day Initiative

IOHIDFamily

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret godkendelse af input.

CVE-2018-4408: Ian Beer fra Google Project Zero

IOKit

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4402: Proteas fra Qihoo 360 Nirvan Team

IOKit

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et skadeligt program kan muligvis frigøre sig fra sin sandbox

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4341: Ian Beer fra Google Project Zero

CVE-2018-4354: Ian Beer fra Google Project Zero

IOUserEthernet

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4401: Apple

IPSec

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2018-4371: Tim Michaud (@TimGMichaud) fra Leviathan Security Group

Kernel

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst ved at fjerne den sårbare kode.

CVE-2018-4420: Mohamed Ghannam (@_simo36)

Kernel

Fås til: macOS High Sierra 10.13.6

Effekt: Et skadeligt program kan lække følsomme brugeroplysninger

Beskrivelse: Der var et adgangsproblem med privilegerede API-kald. Problemet blev løst ved hjælp af yderligere begrænsninger.

CVE-2018-4399: Fabiano Anemone (@anoane)

Kernel

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4340: Mohamed Ghannam (@_simo36)

CVE-2018-4419: Mohamed Ghannam (@_simo36)

CVE-2018-4425: cc, som arbejder med Trend Micro's Zero Day Initiative, Juwei Lin (@panicaII) fra Trend Micro, som arbejder med Trend Micro's Zero Day Initiative

Kernel

Fås til: macOS Sierra 10.12.6

Effekt: Åbning af en skadelig NFS-netværksmappe kan medføre kørsel af vilkårlig kode med systemrettigheder

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4259: Kevin Backhouse of Semmle og LGTM.com

CVE-2018-4286: Kevin Backhouse fra Semmle og LGTM.com

CVE-2018-4287: Kevin Backhouse fra Semmle og LGTM.com

CVE-2018-4288: Kevin Backhouse fra Semmle og LGTM.com

CVE-2018-4291: Kevin Backhouse fra Semmle og LGTM.com

Kernel

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et problem med hukommelsesinitialisering er løst via forbedret hukommelseshåndtering.

CVE-2018-4413: Juwei Lin (@panicaII) fra TrendMicro Mobile Security Team

Kernel

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En hacker med en privilegeret netværksposition kan muligvis forårsage kørsel af vilkårlig kode

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2018-4407: Kevin Backhouse fra Semmle Ltd.

Kernel

Fås til: macOS Mojave 10.14

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et bufferoverløbsproblem er løst med forbedret godkendelse af størrelse.

CVE-2018-4424: Dr. Silvio Cesare fra InfoSect

LinkPresentation

Fås til: macOS Sierra 10.12.6

Effekt: Behandling af en skadelig sms-besked kan medføre efterligning af brugergrænsefladen

Beskrivelse: Der var et problem med efterligning i håndteringen af URL-adresser. Problemet er løst ved forbedret inputvalidering.

CVE-2018-4187: Roman Mueller (@faker_), Zhiyang Zeng (@Wester) fra Tencent Security Platform Department

Log ind-vindue

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En lokal bruger kan muligvis forårsage denial of service

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2018-4348: Ken Gannon fra MWR InfoSecurity og Christian Demko fra MWR InfoSecurity

Mail

Fås til: macOS Mojave 10.14

Effekt: Behandling af en skadelig e-mail kan medføre efterligning af brugergrænsefladen

Beskrivelse: Et problem med en inkonsekvent brugerflade er løst ved forbedret statusadministration.

CVE-2018-4389: Dropbox Offensive Security Team, Theodor Ragnar Gislason fra Syndis

mDNSOffloadUserClient

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4326: En anonym programmør, som arbejder med Trend Micro's Zero Day Initiative, Zhuo Liang fra Qihoo 360 Nirvan Team

MediaRemote

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En sandbox-proces kan muligvis gå uden om sandbox-begrænsningerne

Beskrivelse: Et adgangsproblem er løst med yderligere sandbox-begrænsninger.

CVE-2018-4310: CodeColorist fra Ant-Financial LightYear Labs

Microcode

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Systemer med mikroprocessorer, der udnytter spekulativ eksekvering, og som udfører spekulative læsninger af systemregistre, tillader uautoriseret offentliggørelse af systemparametre for en hacker med lokal brugeradgang gennem analyse via en sidekanal

Beskrivelse: Et problem med afsløring af oplysninger er løst med en opdatering af mikrokoden. Dette sikrer, at implementeringsspecifikke systemregistre ikke kan lækkes via en sidekanal til spekulativ eksekvering.

CVE-2018-3640: Innokentiy Sennovskiy fra BiZone LLC (bi.zone), Zdenek Sojka, Rudolf Marek og Alex Zuepke fra SYSGO AG (sysgo.com)

NetworkExtension

Fås til: macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Oprettelse af forbindelse til en VPN-server kan lække DNS-forespørgsler til en DNS-proxy

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2018-4369: En anonym programmør

Perl

Fås til: macOS Sierra 10.12.6

Effekt: Der var flere problemer med bufferoverløb i Perl

Beskrivelse: Flere problemer i Perl er løst med forbedret hukommelseshåndtering.

CVE-2018-6797: Brian Carpenter

Ruby

Fås til: macOS Sierra 10.12.6

Effekt: En ekstern hacker kan muligvis forårsage pludselig programlukning eller vilkårlig kørsel af kode

Beskrivelse: Flere problemer i Ruby er løst i denne opdatering.

CVE-2017-0898

CVE-2017-10784

CVE-2017-14033

CVE-2017-14064

CVE-2017-17405

CVE-2017-17742

CVE-2018-6914

CVE-2018-8777

CVE-2018-8778

CVE-2018-8779

CVE-2018-8780

Sikkerhed

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: Behandling af en skadelig S/MIME-signeret meddelelse kan medføre et DoS-angreb

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret logik.

CVE-2018-4400: Yukinobu Nagayasu fra LAC Co., Ltd.

Sikkerhed

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En lokal bruger kan muligvis forårsage denial of service

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2018-4395: Patrick Wardle fra Digita Security

Spotlight

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4393: Lufeng Li

Symptom Framework

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2018-4203: Bruno Keith (@bkth_), som arbejder med Trend Micro's Zero Day Initiative

Wi-Fi

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Effekt: En hacker med en privilegeret position kan muligvis fremkalde et DoS-angreb

Beskrivelse: Et Denial of Service-problem blev rettet via forbedret validering.

CVE-2018-4368: Milan Stute og Alex Mariotto fra Secure Mobile Networking Lab på Technische Universität Darmstadt

Yderligere anerkendelser

Kalender

Vi vil gerne takke Matthew Thomas fra Verisign for hjælpen.

coreTLS

Vi vil gerne takke Eyal Ronen (Weizmann Institute), Robert Gillham (University of Adelaide), Daniel Genkin (University of Michigan), Adi Shamir (Weizmann Institute), David Wong (NCC Group) og Yuval Yarom (University of Adelaide og Data61) for hjælpen.

iBooks

Vi vil gerne takke Sem Voigtländer fra Fontys Hogeschool ICT for hjælpen.

Kernel

Vi vil gerne takke Brandon Azad for hjælpen.

LaunchServices

Vi vil gerne takke Alok Menghrajani fra Square for hjælpen.

Vis

Vi vil gerne takke lokihardt fra Google Project Zero for hjælpen.

Sikkerhed

Vi vil gerne takke Marinos Bernitsas fra Parachute for hjælpen.

Terminal

Vi vil gerne takke Federico Bento for hjælpen.

Time Machine

Vi vil gerne takke Matthew Thomas fra Verisign for hjælpen.