Om sikkerhedsindholdet i visionOS 1.2

I dette dokument beskrives sikkerhedsindholdet i visionOS 1.2.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apples sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

visionOS 1.2

CoreMedia

Fås til: Apple Vision Pro

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27817: pattern-f (@pattern_F_) fra Ant Security Light-Year Lab

CoreMedia

Fås til: Apple Vision Pro

Effekt: Behandling af et arkiv kan føre til uventet appafslutning eller kørsel af vilkårlig kode

Beskrivelse: Et out-of-bounds-skriveproblem blev løst ved forbedret inputvalidering.

CVE-2024-27831: Amir Bazine og Karsten König fra CrowdStrike Counter Adversary Operations

Disk Images

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27832: en anonym programmør

Foundation

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27801: CertiK SkyFall Team

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et skadeligt billedarkiv kan medføre kørsel af vilkårlig kode

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27836: Junsung Lee, der arbejder med Trend Micros Zero Day Initiative

IOSurface

Fås til: Apple Vision Pro

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-27828: Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd.

Kernel

Fås til: Apple Vision Pro

Effekt: En hacker, der allerede har opnået kørsel af kernekode, kan muligvis være i stand til at omgå beskyttelse af kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-27840: en anonym programmør

Kernel

Fås til: Apple Vision Pro

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et out-of-bounds-skriveproblem blev løst ved forbedret inputvalidering.

CVE-2024-27815: en anonym programmør og Joseph Ravichandran (@0xjprx) fra MIT CSAIL

libiconv

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27811: Nick Wellnhofer

Messages

Fås til: Apple Vision Pro

Effekt: Behandling af en besked med skadeligt indhold kan medføre et DoS-angreb

Beskrivelse: Problemet er løst ved at fjerne den sårbare kode.

CVE-2024-27800: Daniel Zajork og Joshua Zajork

Metal

Fås til: Apple Vision Pro

Effekt: Behandling af et skadeligt arkiv kan føre til uventet appafslutning eller kørsel af vilkårlig kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2024-27802: Meysam Firouzi (@R00tkitsmm), der arbejder med Trend Micros Zero Day Initiative

Metal

Fås til: Apple Vision Pro

Effekt: En ekstern angriber kan muligvis forårsage pludselig applukning eller kørsel af vilkårlig kode

Beskrivelse: Et out-of-bounds-adgangsproblem blev løst via forbedret kontrol af grænser.

CVE-2024-27857: Michael DePlante (@izobashi) fra Trend Micros Zero Day Initiative

Safari

Fås til: Apple Vision Pro

Effekt: Dialogboksen med et websteds tilladelser vises muligvis stadig, efter at der er navigeret væk fra webstedet

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2024-27844: Narendra Bhati fra Suma Soft Pvt. Ltd i Pune (Indien), Shaheen Fazim

Transparency

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst med en ny rettighed.

CVE-2024-27884: Mickey Jin (@patch1t)

WebKit

Fås til: Apple Vision Pro

Effekt: En webside med skadeligt indhold kan muligvis få adgang til at aflæse brugerens fingeraftryk

Beskrivelse: Problemet blev løst ved at tilføje yderligere logik.

CVE-2024-27838: Emilio Cobos fra Mozilla

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-27808: Lukas Bernhard fra CISPA Helmholtz Center for Information Security

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til DoS-angreb

Beskrivelse: Et logikproblem er løst ved forbedret filhåndtering.

CVE-2024-27812: Ryan Pickren (ryanpickren.com)

WebKit

Fås til: Apple Vision Pro

Effekt: En webside med skadeligt indhold kan muligvis få adgang til at aflæse brugerens fingeraftryk

Beskrivelse: Problemet blev løst ved at forbedre algoritmen for støjinjektion.

CVE-2024-27850: en anonym programmør

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af skadeligt webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et problem med heltalsoverløb er løst ved forbedret inputvalidering.

CVE-2024-27833: Manfred Paul (@_manfp) i samarbejde med Trend Micros Zero Day Initiative

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af skadeligt webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedrede kontroller af grænser.

CVE-2024-27851: Nan Wang (@eternalsakura13) fra 360 Vulnerability Research Institute

WebKit Canvas

Fås til: Apple Vision Pro

Effekt: En webside med skadeligt indhold kan muligvis få adgang til at aflæse brugerens fingeraftryk

Beskrivelse: Problemet er løst via forbedret statusadministration.

CVE-2024-27830: Joe Rutkowski (@Joe12387) fra Crawless og @abrahamjuliot

WebKit Web Inspector

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-27820: Jeff Johnson fra underpassapp.com

Yderligere anerkendelser

ImageIO

Vi vil gerne takke en anonym programmør for hjælpen.