Informationen zum Sicherheitsinhalt von macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave und Sicherheitsupdate 2020-001 High Sierra
In diesem Dokument wird der Sicherheitsinhalt von macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave und Sicherheitsupdate 2020-001 High Sierra beschrieben.
Informationen zu Apple-Sicherheitsupdates
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.
Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.
Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.
macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave, Sicherheitsupdate 2020-001 High Sierra
AnnotationKit
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3877: Ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
apache_mod_php
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Mehrere Probleme in PHP
Beschreibung: Mehrere Probleme wurden durch das Update von PHP auf Version 7.3.11 behoben.
CVE-2019-11043
Audio
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3857: Zhuo Liang vom Qihoo 360 Vulcan Team
autofs
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Das Suchen und Öffnen einer Datei aus einer von einem Angreifer kontrollierten NFS-Aktivierung kann Gatekeeper umgehen.
Beschreibung: Dieses Problem wurde durch zusätzliche Gatekeeper-Überprüfungen von über eine Netzwerkfreigabe eingebundenen Dateien behoben.
CVE-2020-3866: Jose Castro Almeida (@HackerOn2Wheels) und René Kroka (@rene_kroka)
CoreBluetooth
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3848: Jianjun Dai von Qihoo 360 Alpha Lab
CVE-2020-3849: Jianjun Dai von Qihoo 360 Alpha Lab
CVE-2020-3850: Jianjun Dai von Qihoo 360 Alpha Lab
CoreBluetooth
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Ein entfernter Angreifer kann möglicherweise ein Speicherleck verursachen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3847: Jianjun Dai von Qihoo 360 Alpha Lab
Crash Reporter
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Ein Schadprogramm kann möglicherweise auf beschränkte Dateien zugreifen.
Beschreibung: Bei der Verarbeitung von Symlinks bestand ein Überprüfungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung der Symlinks behoben.
CVE-2020-3835: Csaba Fitzl (@theevilbit)
crontab
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3863: James Hutchins
In Apps gefunden
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Auf verschlüsselte Daten kann auf unangemessene Weise zugegriffen werden.
Beschreibung: Beim Zugriff von Siri-Vorschlägen auf verschlüsselte Daten ist ein Problem aufgetreten. Das Problem wurde behoben, indem der Zugriff auf verschlüsselte Daten eingeschränkt wurde.
CVE-2020-9774: Bob Gendler vom National Institute of Standards and Technology
Bildbearbeitung
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Das Anzeigen einer in böser Absicht erstellten JPEG-Datei kann zur Ausführung willkürlichen Codes führen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3827: Samuel Groß von Google Project Zero
ImageIO
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3826: Samuel Groß von Google Project Zero
CVE-2020-3870
CVE-2020-3878: Samuel Groß von Google Project Zero
CVE-2020-3880: Samuel Groß von Google Project Zero
Intel-Grafiktreiber
Verfügbar für: macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3845: Zhuo Liang vom Qihoo 360 Vulcan Team
IOAcceleratorFamily
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3837: Brandon Azad von Google Project Zero
IOThunderboltFamily
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3851: Xiaolong Bai und Min (Spark) Zheng von Alibaba Inc. und Luyi Xing von der Indiana University Bloomington
IPSec
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Das Laden einer in böswilliger Absicht erstellten Racoon-Konfigurationsdatei könnte zur Ausführung willkürlichen Codes führen.
Beschreibung: Bei der Verarbeitung von Racoon-Konfigurationsdateien trat ein Off-by-one-Problem auf. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-2020-3840: @littlelailo
Kernel
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.
CVE-2020-3875: Brandon Azad von Google Project Zero
Kernel
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3872: Haakon Garseg Mørk von Cognite und Cim Stordal von Cognite
Kernel
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.
Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3853: Brandon Azad von Google Project Zero
Kernel
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Das Layout des Kernelspeichers kann möglicherweise von einem Schadprogramm ermittelt werden.
Beschreibung: Ein Zugriffsproblem wurde durch verbesserte Speicherverwaltung behoben.
CVE-2020-3836: Brandon Azad von Google Project Zero
Kernel
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2020-3842: Ned Williamson in Zusammenarbeit mit Google Project Zero
CVE-2020-3871: Corellium
libxml2
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Die Verarbeitung einer in böser Absicht erstellten XML-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen
Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Größenüberprüfung behoben.
CVE-2020-3846: Ranier Vilela
libxpc
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Die Verarbeitung eines in böser Absicht erstellten Strings kann zu einer Heapbeschädigung führen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3856: Ian Beer von Google Project Zero
libxpc
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Eine Anwendung kann möglicherweise erhöhte Benutzerrechte erlangen.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-2020-3829: Ian Beer von Google Project Zero
PackageKit
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein Schadprogramm kann möglicherweise beliebige Dateien überschreiben.
Beschreibung: Bei der Verarbeitung von Symlinks bestand ein Überprüfungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung der Symlinks behoben.
CVE-2020-3830: Csaba Fitzl (@theevilbit)
Sicherheit
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Schadprogramm kann die Sandbox umgehen.
Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.
CVE-2020-3854: Jakob Rieck (@0xdead10cc) und Maximilian Blochberger von der Security in Distributed Systems Group, Universität Hamburg
sudo
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: In bestimmten Konfigurationen kann ein lokaler Angreifer willkürlichen Code ausführen.
Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2019-18634: Apple
System
Verfügbar für: macOS High Sierra 10.13.6 und macOS Mojave 10.14.6
Auswirkung: Ein Schadprogramm kann möglicherweise beliebige Dateien überschreiben.
Beschreibung: Ein Zugriffsproblem wurde durch verbesserte Zugriffsbeschränkungen behoben.
CVE-2020-3855: Csaba Fitzl (@theevilbit)
WLAN
Verfügbar für: macOS Catalina 10.15.2
Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.
Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.
CVE-2020-3839: s0ngsari von Theori und Lee von der Seoul National University in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
WLAN
Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2
Auswirkung: Ein entfernter Angreifer kann möglicherweise einen unerwarteten Systemabbruch oder einen Fehler beim Kernelspeicher verursachen.
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2020-3843: Ian Beer von Google Project Zero
wifivelocityd
Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2
Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.
Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
Zusätzliche Danksagung
Fotos-Speicher
Wir möchten uns bei Alison Husain von der UC Berkeley für die Unterstützung bedanken.
SharedFileList
Wir möchten uns bei Patrick Wardle von Jamf für die Unterstützung bedanken.
Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.