Informationen zum Sicherheitsinhalt des Sicherheitsupdates 2021-003 Mojave
In diesem Dokument wird der Sicherheitsinhalt des Sicherheitsupdates 2021-003 Mojave beschrieben.
Informationen zu Apple-Sicherheitsupdates
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.
Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.
Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.
Sicherheitsupdate 2021-003 Mojave
APFS
Verfügbar für: macOS Mojave
Auswirkung: Ein lokaler Benutzer kann willkürliche Dateien lesen.
Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.
CVE-2021-1797: Thomas Tempelmann
Audio
Verfügbar für: macOS Mojave
Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2021-1808: JunDong Xie von Ant Security Light-Year Lab
CFNetwork
Verfügbar für: macOS Mojave
Auswirkung: Bei der Verarbeitung von in böser Absicht erstellten Webinhalten können vertrauliche Nutzerdaten offengelegt werden.
Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2021-1857: Ein anonymer Forscher
CoreAudio
Verfügbar für: macOS Mojave
Auswirkung: Ein Schadprogramm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2021-1809: JunDong Xie von Ant Security Light-Year Lab
CoreGraphics
Verfügbar für: macOS Mojave
Auswirkung: Das Öffnen einer in böser Absicht erstellten Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung von willkürlichem Code führen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2021-1847: Xuwei Liu von der Purdue University
CoreText
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schrift kann zur Preisgabe des Prozessspeichers führen.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2021-1811: Xingwei Lin von Ant Security Light-Year Lab
curl
Verfügbar für: macOS Catalina
Auswirkung: Aktive Dienste können möglicherweise von einem böswilligen Server offengelegt werden.
Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.
CVE-2020-8284: Marian Rehak
curl
Verfügbar für: macOS Mojave
Auswirkung: Ein entfernter Angreifer kann einen Denial-of-Service-Angriff verursachen.
Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-8285: xnynx
curl
Verfügbar für: macOS Mojave
Auswirkung: Ein Angreifer kann möglicherweise eine betrügerische OCSP-Antwort bereitstellen, die gültig wirkt.
Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.
CVE-2020-8286: ein anonymer Forscher
DiskArbitration
Verfügbar für: macOS Mojave
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann unter Umständen geschützte Bereiche des Dateisystems ändern.
Beschreibung: In DiskArbitration trat ein Berechtigungsfehler auf. Dieses Problem wurde durch zusätzliche Eigentümerschaftsüberprüfungen behoben.
CVE-2021-1784: Csaba Fitzl (@theevilbit) von Offensive Security, ein anonymer Forscher und Mikko Kenttälä (@Turmio_) von SensorFu
FontParser
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2021-1881: Hou JingYi (@hjy79425575) von Qihoo 360, ein anonymer Forscher, Xingwei Lin von Ant Security Light-Year Lab und Mickey Jin von Trend Micro
FontParser
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2020-27942: Ein anonymer Forscher
Foundation
Verfügbar für: macOS Mojave
Auswirkung: Ein Schadprogramm kann möglicherweise Root-Rechte erlangen.
Beschreibung: Ein Überprüfungsproblem wurde mit einer verbesserten Logik behoben.
CVE-2021-1813: Cees Elzinga
ImageIO
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.
Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.
CVE-2021-1843: Ye Zhang von Baidu Security
Intel Graphics Driver
Verfügbar für: macOS Mojave
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2021-1805: ABC Research s.r.o. in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
Intel Graphics Driver
Verfügbar für: macOS Mojave
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.
CVE-2021-1806: ABC Research s.r.o. in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
Intel Graphics Driver
Verfügbar für: macOS Mojave
Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Ein Problem mit Schreibvorgängen außerhalb der Speicherbegrenzungen wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-2021-1834: ABC Research s.r.o. in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
Kernel
Verfügbar für: macOS Mojave
Auswirkung: Der Kernelspeicher kann möglicherweise von einem Schadprogramm offengelegt werden
Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2021-1860: @0xalsr
Kernel
Verfügbar für: macOS Mojave
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2021-1851: @0xalsr
Kernel
Verfügbar für: macOS Mojave
Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2021-1840: Zuozhi Fan (@pattern_F_) von Ant Group Tianqiong Security Lab
libxpc
Verfügbar für: macOS Mojave
Auswirkung: Ein Schadprogramm kann möglicherweise Root-Rechte erlangen.
Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.
CVE-2021-30652: James Hutchins
libxslt
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einer Heapbeschädigung führen.
Beschreibung: Ein Double-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2021-1875: Gefunden von OSS-Fuzz
NSRemoteView
Verfügbar für: macOS Mojave
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2021-1876: Matthew Denton von Google Chrome
Preferences
Verfügbar für: macOS Mojave
Auswirkung: Ein lokaler Benutzer kann geschützte Bereiche des Dateisystems ändern.
Beschreibung: Ein Parsing-Problem bei der Verarbeitung von Verzeichnispfaden wurde durch eine verbesserte Pfadüberprüfung behoben.
CVE-2021-1739: Zhipeng Huo (@R3dF09) und Yuebin Sun (@yuebinsun2020) von Tencent Security Xuanwu Lab (xlab.tencent.com)
smbx
Verfügbar für: macOS Mojave
Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann vertrauliche Benutzerdaten offenlegen
Beschreibung: Ein Ganzzahl-Überlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2021-1878: Aleksandar Nikolic von Cisco Talos (talosintelligence.com)
Tailspin
Verfügbar für: macOS Mojave
Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2021-1868: Tim Michaud von Zoom Communications
tcpdump
Verfügbar für: macOS Mojave
Auswirkung: Ein entfernter Angreifer kann einen Denial-of-Service-Angriff verursachen.
Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.
CVE-2020-8037: ein anonymer Forscher
Time Machine
Verfügbar für: macOS Mojave
Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.
Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.
CVE-2021-1839: Tim Michaud(@TimGMichaud) von Zoom Video Communications und Gary Nield von ECSC Group plc
Wi-Fi
Verfügbar für: macOS Mojave
Auswirkung: Eine Anwendung kann einen unerwarteten Systemabbruch verursachen oder in den Kernel-Speicher schreiben.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2021-1828: Zuozhi Fan (@pattern_F_) von Ant Group Tianqiong Security Lab
wifivelocityd
Verfügbar für: macOS Mojave
Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.
Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
WindowServer
Verfügbar für: macOS Mojave
Auswirkung: Ein Schadprogramm kann möglicherweise unerwartet die Anmeldeinformationen eines Benutzers aus sicheren Textfeldern auslesen.
Beschreibung: Ein API-Problem in den TCC-Berechtigungen für Bedienungshilfen wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2021-1873: ein anonymer Forscher
Zusätzliche Danksagung
CoreCrypto
Wir möchten uns bei Andy Russon von der Orange Group für die Unterstützung bedanken.
Intel Graphics Driver
Wir möchten uns bei Jack Dates von RET2 Systems, Inc. für die Unterstützung bedanken.
Kernel
Wir möchten uns bei GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan und einem anonymen Forscher für die Unterstützung bedanken.
Wir möchten uns bei Petter Flink, SecOps bei Bonnier News, für die Unterstützung bedanken.
Safari
Wir möchten uns bei einem anonymen Forscher für die Unterstützung bedanken.
Security
Wir möchten uns bei Xingwei Lin von Ant Security Light-Year Lab und john (@nyan_satan) für die Unterstützung bedanken.
Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.