Informationen zum Sicherheitsinhalt des Sicherheitsupdates 2021-007 Catalina

In diesem Dokument wird der Sicherheitsinhalt des Sicherheitsupdates 2021-007 Catalina beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

Sicherheitsupdate 2021-007 Catalina

AppKit

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann unter Umständen Rechte erhöhen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30873: Thijs Alkemade von Computest Research Division

AppleScript

Verfügbar für: macOS Catalina

Auswirkung: Durch Verarbeitung einer in böser Absicht erstellten AppleScript-Binärdatei kann ein Programm unerwartet beendet oder Prozessspeicher offengelegt werden.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30876: Jeremy Brown, hjy79425575

CVE-2021-30879: Jeremy Brown, hjy79425575

CVE-2021-30877: Jeremy Brown

CVE-2021-30880: Jeremy Brown

Audio

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann unter Umständen Rechte erhöhen.

Beschreibung: Ein Ganzzahlüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30907: Zweig von Kunlun Lab

Bluetooth

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.

CVE-2021-30899: Weiteng Chen, Zheng Zhang und Zhiyun Qian von UC Riverside und Yu Wang von Didi Research America

ColorSync

Verfügbar für: macOS Catalina

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Speicherfehler bei der Verarbeitung von ICC-Profilen wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30926: Jeremy Brown

ColorSync

Verfügbar für: macOS Catalina

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Bei der Verarbeitung von ICC-Profilen kam es zu einem Speicherfehler. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30917: Alexandru-Vlad Niculae und Mateusz Jurczyk von Google Project Zero

Continuity Camera

Verfügbar für: macOS Catalina

Auswirkung: Ein lokaler Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen

Beschreibung: Ein Problem mit einem unkontrollierten Formatstring wurde mit verbesserter Eingabeüberprüfung behoben.

CVE-2021-30903: Gongyu Ma von Hangzhou Dianzi University

CoreAudio

Verfügbar für: macOS Catalina

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Audiodatei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30834: JunDong Xie von Ant Security Light-Year Lab

CoreAudio

Verfügbar für: macOS Catalina

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können möglicherweise Benutzerinformationen offengelegt werden

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30905: Mickey Jin (@patch1t) von Trend Micro

CoreGraphics

Verfügbar für: macOS Catalina

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten PDF-Datei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2021-30919: Apple

FileProvider

Verfügbar für: macOS Catalina

Auswirkung: Das Entpacken eines in böser Absicht erstellten Archivs kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Problem bei der Eingabeüberprüfung wurde durch eine verbesserte Arbeitsspeicherverwaltung behoben.

CVE-2021-30881: Simon Huang (@HuangShaomang) und pjf vom IceSword Lab von Qihoo 360

iCloud

Verfügbar für: macOS Catalina

Auswirkung: Ein lokaler Angreifer kann möglicherweise seine Berechtigungen erhöhen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30906: Cees Elzinga

Intel Graphics Driver

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Mehrere Probleme, aufgrund derer Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurden durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30922: Jack Dates von RET2 Systems, Inc., Yinyi Wu (@3ndy1)

Intel Graphics Driver

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30824: Antonio Zekic (@antoniozekic) von Diverto

Intel Graphics Driver

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Mehrere Probleme, aufgrund derer Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurden durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30901: Zuozhi Fan (@pattern_F_) von Ant Security TianQiong Lab, Jack Dates von RET2 Systems, Inc., Liu Long von Ant Security Light-Year Lab, Yinyi Wu (@3ndy1) von Ant Security Light-Year Lab

IOGraphics

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30821: Tim Michaud (@TimGMichaud) von Zoom Video Communications

Kernel

Verfügbar für: macOS Catalina

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30909: Zweig von Kunlun Lab

Kernel

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2021-30916: Zweig von Kunlun Lab

Model I/O

Verfügbar für: macOS Catalina

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können möglicherweise Benutzerinformationen offengelegt werden

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30910: Mickey Jin (@patch1t) von Trend Micro

Model I/O

Verfügbar für: macOS Catalina

Auswirkung: Die Verarbeitung einer in böswilliger Absicht erstellten USD-Datei kann Speicherinhalte offenlegen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2021-30911: Rui Yang und Xingwei Lin von Ant Security Light-Year Lab

SMB

Verfügbar für: macOS Catalina

Auswirkung: Ein entfernter Angreifer kann möglicherweise ein Speicherleck verursachen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30844: Peter Nguyen Vu Hoang von STAR Labs

SoftwareUpdate

Verfügbar für: macOS Catalina

Auswirkung: Ein nicht berechtigtes Programm könnte NVRAM-Variablen bearbeiten.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2021-30913: Kirin (@Pwnrin) und chenyuwang (@mzzzz__) von Tencent Security Xuanwu Lab

SoftwareUpdate

Verfügbar für: macOS Catalina

Auswirkung: Ein Schadprogramm kann Zugriff auf die Schlüsselbundobjekte eines Benutzers erhalten.

Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.

CVE-2021-30912: Kirin (@Pwnrin) und chenyuwang (@mzzzz__) von Tencent Security Xuanwu Lab

UIKit

Verfügbar für: macOS Catalina

Auswirkung: Eine Person mit physischem Zugang zu einem Gerät kann in einem sicheren Texteingabefeld die Eigenschaften eines Benutzerpassworts ermitteln.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2021-30915: Kostas Angelopoulos

xar

Verfügbar für: macOS Catalina

Auswirkung: Durch Auspacken eines in böser Absicht erstellten Archivs kann ein Angreifer beliebige Dateien erzeugen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2021-30833: Richard Warren von NCC Group

zsh

Verfügbar für: macOS Catalina

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann unter Umständen geschützte Bereiche des Dateisystems ändern.

Beschreibung: Ein Problem in Bezug auf übernommene Berechtigungen wurde mittels zusätzlicher Einschränkungen behoben.

CVE-2021-30892: Jonathan Bar Or von Microsoft

Zusätzliche Danksagung

iCloud

Wir möchten uns bei Ryan Pickren (ryanpickren.com) für die Unterstützung bedanken.