Om sikkerhedsindholdet i macOS High Sierra 10.13.4, sikkerhedsopdatering 2018-002 Sierra og sikkerhedsopdatering 2018-002 El Capitan

Dette dokument beskriver sikkerhedsindholdet i macOS High Sierra 10.13.4, sikkerhedsopdatering 2018-002 Sierra og sikkerhedsopdatering 2018-002 El Capitan.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed. Du kan kryptere din kommunikation med Apple ved hjælp af PGP-nøglen til Apple-produktsikkerhed.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

macOS High Sierra 10.13.4, sikkerhedsopdatering 2018-002 Sierra og sikkerhedsopdatering 2018-002 El Capitan

Udgivet 29. marts 2018

Admin Framework

Fås til: macOS High Sierra 10.13.3

Effekt: Adgangskoder til sysadminctl kan vises for andre lokale brugere

Beskrivelse: Værktøjet sysadminctl fra kommandolinjen krævede, at adgangskoder skulle overføres til værktøjet i argumenterne, hvormed adgangskoderne muligvis kunne vises for andre lokale brugere. Denne opdatering gør adgangskodeparameteren valgfri, og sysadminctl beder om adgangskoden efter behov.

CVE-2018-4170: En anonym programmør

APFS

Fås til: macOS High Sierra 10.13.3

Effekt: Adgangskoden til en APFS-enhed kan uventet blive skåret af

Beskrivelse: Et problem med indsættelse blev løst via forbedret godkendelse af input.

CVE-2018-4105: David J Beitey (@davidjb_), Geoffrey Bugniot

ATS

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Behandling af et skadeligt arkiv kan afsløre brugeroplysninger

Beskrivelse: Der var et godkendelsesproblem i håndteringen af symbolske links. Problemet er løst ved forbedret godkendelse af symbolske links.

CVE-2018-4112: Haik Aftandilian fra Mozilla

CFNetwork-session

Fås til: OS X El Capitan 10.11.6 og macOS Sierra 10.12.6

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4166: Samuel Groß (@5aelo)

CoreFoundation

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4155: Samuel Groß (@5aelo)

CVE-2018-4158: Samuel Groß (@5aelo)

CoreText

Fås til: macOS High Sierra 10.13.3

Effekt: Behandling af en skadelig streng kan medføre et DoS-angreb

Beskrivelse: Der var et DoS-problem, som er løst med forbedret hukommelsesbehandling.

CVE-2018-4142: Robin Leroy fra Google Switzerland GmbH

CoreTypes

Fås til: OS X El Capitan 10.11.6 og macOS Sierra 10.12.6

Effekt: Behandling af et skadeligt websted kan resultere i åbning af et diskbillede

Beskrivelse: Et logikproblem er løst via forbedrede begrænsninger.

CVE-2017-13890: Apple, Theodor Ragnar Gislason fra Syndis

curl

Fås til: OS X El Capitan 10.11.6 og macOS Sierra 10.12.6

Effekt: Flere sikkerhedsproblemer i curl

Beskrivelse: Der opstod et heltalsoverløb i curl. Problemet er løst via forbedret kontrol af grænser.

CVE-2017-8816: Alex Nichols

Post opdateret 30. marts 2018

Diskbilleder

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Åbning af et skadeligt diskbillede kan resultere i åbning af et program

Beskrivelse: Et logikproblem er løst via forbedret godkendelse.

CVE-2018-4176: Theodor Ragnar Gislason fra Syndis

Diskstyring

Fås til: macOS High Sierra 10.13.3

Effekt: Adgangskoden til en APFS-enhed kan uventet blive skåret af

Beskrivelse: Et problem med indsættelse blev løst via forbedret godkendelse af input.

CVE-2018-4108: Kamatham Chaitanya fra ShiftLeft Inc., en anonym programmør

EFI

Fås til: macOS High Sierra 10.13.3

Effekt: En hacker inden for Wi-Fi-rækkevidde kan gennemtvinge genbrug af nonce i WPA-klienter (Key Reinstallation Attacks – KRACK)

Beskrivelse: Der var et logikproblem i håndteringen af statusovergange. Det er løst ved hjælp af forbedret statusadministration.

CVE-2017-13080: Mathy Vanhoef fra imec-DistriNet-gruppen hos KU Leuven

Post tilføjet 18. oktober 2018

Filsystemhændelser

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4167: Samuel Groß (@5aelo)

iCloud Drive

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4151: Samuel Groß (@5aelo)

Intel Graphics Driver

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4132: Axis og pjf fra IceSword Lab hos Qihoo 360

IOFireWireFamily

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4135: Xiaolong Bai og Min (Spark) Zheng fra Alibaba Inc.

Kernel

Fås til: macOS High Sierra 10.13.3

Effekt: Et skadeligt program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4150: En anonym programmør

Kernel

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2018-4104: Storbritanniens National Cyber Security Centre (NCSC)

Kernel

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2018-4143: derrek (@derrekr6)

Kernel

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2018-4136: Jonas Jensen fra lgtm.com og Semmle

Kernel

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2018-4160: Jonas Jensen fra lgtm.com og Semmle

Kernel

Fås til: macOS High Sierra 10.13.3

Effekt: Et skadeligt program kan muligvis aflæse opsætningen af kernehukommelsen

Beskrivelse: Der var et problem med afsløring af oplysninger ved overgang af programstatus. Problemet er løst ved forbedret statusbehandling.

CVE-2018-4185: Brandon Azad

Post tilføjet 19. juli 2018

kext-værktøjer

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Der var et logikproblem, som resulterede i beskadiget hukommelse. Det er løst ved hjælp af forbedret statusadministration.

CVE-2018-4139: Ian Beer fra Google Project Zero

LaunchServices

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et skadeligt program kan tilsidesætte gennemførelse af kodesignering

Beskrivelse: Et logikproblem er løst via forbedret godkendelse.

CVE-2018-4175: Theodor Ragnar Gislason fra Syndis

libxml2

Fås til: macOS Sierra 10.12.6, macOS High Sierra 10.13.3, OS X El Capitan 10.11.6

Effekt: Behandling af webindhold med skadelig kode kan føre til et uventet nedbrud i Safari

Beskrivelse: Et use-after-free problem blev rettet ved forbedret hukommelseshåndtering.

CVE-2017-15412: Nick Wellnhofer

Post opdateret 18. oktober 2018

Lokal godkendelse

Fås til: macOS High Sierra 10.13.3

Effekt: En lokal bruger kan muligvis få adgang til følsomme brugeroplysninger

Beskrivelse: Der var et problem med håndteringen af pinkoder til chipkort. Problemet er løst ved yderligere logik.

CVE-2018-4179: David Fuhrmann

Post tilføjet 13. april 2018

Mail

Fås til: macOS High Sierra 10.13.3

Effekt: En hacker med en privilegeret netværksposition kan eksfiltrere indholdet i S/MIME-krypterede e-mails

Beskrivelse: Det var et problem i håndteringen af S/MIME HTML-e-mails. Problemet er løst ved som standard ikke at indlæse fjernressourcer i S/MIME-krypterede beskeder, hvis beskeden har en ugyldig eller manglende S/MIME-signatur.

CVE-2018-4111: Damian Poddebniak fra Münster University of Applied Sciences, Christian Dresen fra Münster University of Applied Sciences, Jens Müller fra Ruhr University Bochum, Fabian Ising fra Münster University of Applied Sciences, Sebastian Schinzel fra Münster University of Applied Sciences, Simon Friedberger fra KU Leuven, Juraj Somorovsky fra Ruhr University Bochum, Jörg Schwenk fra Ruhr University Bochum

Post opdateret 13. april 2018

Mail

Fås til: macOS High Sierra 10.13.3

Effekt: En angriber i en privilegeret netværksposition kan være i stand til at opfange indholdet af S/MIME-krypteret e-mail

Beskrivelse: Et problem med en inkonsekvent brugerflade er løst ved forbedret statusadministration.

CVE-2018-4174: John McCombs fra Integrated Mapping Ltd, McClain Looney fra LoonSoft Inc.

Post opdateret 13. april 2018

Bemærkninger

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4152: Samuel Groß (@5aelo)

Bemærkninger

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2017-7151: Samuel Groß (@5aelo)

Post tilføjet 18. oktober 2018

NSURLSession

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4166: Samuel Groß (@5aelo)

NVIDIA-grafikkortdrivere

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2018-4138: Axis og pjf fra IceSword Lab hos Qihoo 360

PDFKit

Fås til: macOS High Sierra 10.13.3

Effekt: Klik på en URL-adresse i en PDF kan åbne et skadeligt websted

Beskrivelse: Der var et problem med parsing af URL-adresser i PDF-arkiver. Problemet er løst ved forbedret godkendelse af input.

CVE-2018-4107: Nick Safford fra Innovia Technology

Post opdateret 9. april 2018

PluginKit

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4156: Samuel Groß (@5aelo)

Vis

Fås til: macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4157: Samuel Groß (@5aelo)

Ekstern administration

Fås til: macOS High Sierra 10.13.3

Effekt: En ekstern bruger kan opnå rodrettigheder.

Beskrivelse: Der var et problem med tilladelser i Ekstern administration. Dette problem blev løst via forbedret godkendelse af tilladelser.

CVE-2018-4298: Tim van der Werff fra SupCloud

Post tilføjet 19. juli 2018

Sikkerhed

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et skadeligt program kan muligvis få adgang til hævede rettigheder

Beskrivelse: Et bufferoverløbsproblem er løst med forbedret godkendelse af størrelse.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

SIP

Fås til: OS X El Capitan 10.11.6 og macOS Sierra 10.12.6

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Der var et konfigurationsproblem, som er løst ved yderligere begrænsninger.

CVE-2017-13911: Timothy Perfitt fra Twocanoes Software

Post tilføjet d. 8. august 2018, opdateret d. 25. september 2018

Statuslinje

Fås til: macOS High Sierra 10.13.3

Effekt: Et skadeligt program kan få adgang til mikrofonen uden at oplyse brugeren

Beskrivelse: Der var et konsistensproblem i beslutningen om, hvornår brug af mikrofonen skulle vises for brugeren. Problemet er løst med forbedret godkendelse af funktionaliteter.

CVE-2018-4173: Joshua Pokotilow fra pingmd

Post tilføjet 9. april 2018

Lagringsplads

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2018-4154: Samuel Groß (@5aelo)

Systemindstillinger

Fås til: macOS High Sierra 10.13.3

Effekt: En konfigurationsprofil kan fejlagtigt være aktiv efter fjernelse

Beskrivelse: Der var et problem i CFPreferences. Problemet er blevet løst via forbedret rensning af indstillinger.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov og Matt Vlasach fra Wandera

Terminal

Fås til: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 og macOS High Sierra 10.13.3

Effekt: Indsættelse af skadeligt indhold kan føre til manipulering med kørsel af forkerte kommandoer

Beskrivelse: Der var et problem med kommandoindsættelse ved behandling af Bracketed Paste Mode. Problemet er løst ved forbedret godkendelse af specialtegn.

CVE-2018-4106: Simon Hosie

WindowServer

Fås til: macOS High Sierra 10.13.3

Effekt: Et program uden privilegier kunne muligvis indsamle tasteanslag, der var indtastet i andre programmer, selv når den sikre inputtilstand var aktiveret

Beskrivelse: Et program uden privilegier kunne indsamle tasteanslag, der var indtastet i andre programmer, ved at scanne tasternes tilstande, selv når den sikre inputtilstand var aktiveret. Problemet blev løst gennem en forbedret statusadministration.

CVE-2018-4131: Andreas Hegenberg fra folivora.AI GmbH

Yderligere anerkendelser

Mail

Vi vil gerne takke Sabri Haddouche (@pwnsdx) fra Wire Swiss GmbH for hjælpen.

Post tilføjet 21. juni 2018

Sikkerhed

Vi vil gerne takke Abraham Masri (@cheesecakeufo) for hjælpen.

Post tilføjet 13. april 2018

Oplysninger om produkter, der ikke er fremstillet af Apple, eller selvstændige websteder, der ikke er styret eller testet af Apple, er ikke udtryk for anbefalinger eller godkendelser fra Apples side. Apple påtager sig intet ansvar med hensyn til udvalget af disse produkter, produkternes funktionsevne eller brugen af produkterne. Apple giver ingen garanti for, at indholdet på websteder, som Apple ikke står bag, er pålideligt og præcist. Det er forbundet med en naturlig risiko at bruge internettet. Kontakt producenten for at få yderligere oplysninger. Andre virksomheds- og produktnavne kan være varemærker tilhørende de respektive ejere.

Udgivelsesdato: