Informationen zum Sicherheitsinhalt von macOS High Sierra 10.13.4, zum Sicherheitsupdate 2018-002 Sierra und zum Sicherheitsupdate 2018-002 El Capitan

In diesem Dokument wird der Sicherheitsinhalt von macOS High Sierra 10.13.4, dem Sicherheitsupdate 2018-002 Sierra und dem Sicherheitsupdate 2018-002 El Capitan beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen finden Sie auf der Seite Apple-Sicherheitsupdates.

Weitere Informationen zur Sicherheit finden Sie auf der Seite zur Apple-Produktsicherheit. Ihre Kommunikation mit Apple können Sie mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

macOS High Sierra 10.13.4, Sicherheitsupdate 2018-002 Sierra und Sicherheitsupdate 2018-002 El Capitan

Veröffentlicht am 29. März 2018

Admin Framework

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Für sysadminctl bereitgestellte Passwörter können durch andere lokale Benutzer ausgelesen werden

Beschreibung: Das sysadminctl-Befehlszeilentool erforderte, dass Passwörter in seinen Argumenten übermittelt werden, wodurch die Passwörter womöglich durch andere lokale Benutzer ausgelesen werden konnten. Mit diesem Update wird der Passwortparameter optional, und sysadminctl fordert bei Bedarf zur Eingabe des Passworts auf.

CVE-2018-4170: Ein anonymer Forscher

APFS

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein APFS-Volume-Passwort kann unerwartet abgeschnitten werden

Beschreibung: Ein Eingabeproblem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2018-4105: David J Beitey (@davidjb_), Geoffrey Bugniot

ATS

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können Benutzerinformationen offengelegt werden

Beschreibung: Bei der Verarbeitung von Symlinks bestand ein Überprüfungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung von Symlinks behoben.

CVE-2018-4112: Haik Aftandilian von Mozilla

CFNetwork-Sitzung

Verfügbar für: OS X El Capitan 10.11.6 und macOS Sierra 10.12.6

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4166: Samuel Groß (@5aelo)

CoreFoundation

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4155: Samuel Groß (@5aelo)

CVE-2018-4158: Samuel Groß (@5aelo)

CoreText

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Zeichenfolge kann zu einem Denial-of-Service führen

Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4142: Robin Leroy von Google Switzerland GmbH

CoreTypes

Verfügbar für: OS X El Capitan 10.11.6 und macOS Sierra 10.12.6

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Webseite kann zur Aktivierung eines Disk-Images führen

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Einschränkungen behoben.

CVE-2017-13890: Apple, Theodor Ragnar Gislason von Syndis

curl

Verfügbar für: OS X El Capitan 10.11.6 und macOS Sierra 10.12.6

Auswirkung: Mehrere Probleme in curl

Beschreibung: In curl kam es zu einem Ganzzahl-Pufferüberlauf. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2017-8816: Alex Nichols

Eintrag am 30. März 2018 aktualisiert

Disk-Images

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Die Aktivierung eines in böser Absicht erstellten Images kann zum Starten einer Anwendung führen

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2018-4176: Theodor Ragnar Gislason von Syndis

Laufwerksverwaltung

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein APFS-Volume-Passwort kann unerwartet abgeschnitten werden

Beschreibung: Ein Eingabeproblem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2018-4108: Kamatham Chaitanya von ShiftLeft Inc., ein anonymer Forscher

Dateisystemereignisse

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4167: Samuel Groß (@5aelo)

iCloud Drive

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4151: Samuel Groß (@5aelo)

Intel-Grafiktreiber

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4132: Axis und pjf vom IceSword Lab von Qihoo 360

IOFireWireFamily

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4135: Xiaolong Bai und Min (Spark) Zheng von Alibaba Inc.

Kernel

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Schadprogramm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4150: Ein anonymer Forscher

Kernel

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.

CVE-2018-4104: Britisches National Cyber Security Centre (NCSC)

Kernel

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2018-4143: derrek (@derrekr6)

Kernel

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2018-4136: Jonas Jensen von lgtm.com und Semmle

Kernel

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2018-4160: Jonas Jensen von lgtm.com und Semmle

kext tools

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Es bestand ein Logikproblem, das zu Speicherfehlern führte. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2018-4139: Ian Beer von Google Project Zero

LaunchServices

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Die Code-Signaturerzwingung kann von einer in böser Absicht erstellten Anwendung umgangen werden

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2018-4175: Theodor Ragnar Gislason von Syndis

Lokale Authentifizierung

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein lokaler Nutzer kann vertrauliche Benutzerdaten anzeigen

Beschreibung: Bei der Verarbeitung von Smartcard-PINs bestand ein Problem. Dieses Problem wurde durch eine zusätzliche Logik behoben.

CVE-2018-4179: David Fuhrmann

Eintrag am 13. April 2018 hinzugefügt

Mail

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann die Inhalte von E-Mails, die mit S/MIME verschlüsselt sind, exfiltrieren

Beschreibung: Es bestand ein Problem bei der Handhabung von S/MIME-HTML-E-Mails. Das Problem wurde behoben, indem Remote-Ressourcen bei mit S/MIME-verschlüsselten Nachrichten nicht standardmäßig geladen werden, wenn die Nachricht eine ungültige oder fehlende S/MIME-Signatur aufweist.

CVE-2018-4111: Damian Poddebniak von der Fachhochschule Münster, Christian Dresen von der Fachhochschule Münster, Jens Müller von der Ruhr-Universität Bochum, Fabian Ising von der Fachhochschule Münster, Sebastian Schinzel von der Fachhochschule Münster, Simon Friedberger von der KU Leuven, Juraj Somorovsky von der Ruhr-Universität Bochum, Jörg Schwenk von der Ruhr-Universität Bochum

Eintrag am 13. April 2018 aktualisiert

Mail

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann die Inhalte von E-Mails, die mit S/MIME verschlüsselt sind, abfangen

Beschreibung: Ein Problem aufgrund einer uneinheitlichen Benutzeroberfläche wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2018-4174: John McCombs von Integrated Mapping Ltd, McClain Looney von LoonSoft Inc.

Eintrag am 13. April 2018 aktualisiert

Hinweise

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4152: Samuel Groß (@5aelo)

NSURLSession

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4166: Samuel Groß (@5aelo)

NVIDIA-Grafiktreiber

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.

CVE-2018-4138: Axis und pjf vom IceSword Lab von Qihoo 360

PDFKit

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Durch Klicken auf eine URL in einer PDF kann eine in böser Absicht erstellte Website aufgerufen werden

Beschreibung: Es bestand ein Problem bei der Analyse von URLs in PDFs. Dieses Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2018-4107: Nick Safford of Innovia Technology

Eintrag am 9. April 2018 aktualisiert

PluginKit

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4156: Samuel Groß (@5aelo)

Übersicht

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4157: Samuel Groß (@5aelo)

Sicherheit

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Ein Schadprogramm kann die Rechte erhöhen

Beschreibung: Ein Problem mit einem Stapelpufferüberlauf wurde durch eine verbesserte Größenüberprüfung behoben.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Statusleiste

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Schadprogramm könnte ohne Wissen des Benutzers auf das Mikrofon zugreifen

Beschreibung: Bei der Entscheidung, wann die Anzeige über die Mikrofonverwendung erscheinen soll, bestand eine Unstimmigkeit. Das Problem wurde durch eine verbesserte Leistungsüberprüfung behoben.

CVE-2018-4173: Joshua Pokotilow von pingmd

Eintrag am 9. April 2018 hinzugefügt

Speicher

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2018-4154: Samuel Groß (@5aelo)

Systemeinstellungen

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Ein Konfigurationsprofil kann nach dem Entfernen fälschlicherweise erhalten bleiben

Beschreibung: In CFPreferences bestand ein Problem. Dieses Problem wurde durch eine verbesserte Bereinigung der Einstellungen behoben.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov und Matt Vlasach von Wandera

Terminal

Verfügbar für: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 und macOS High Sierra 10.13.3

Auswirkung: Das Einfügen von in böser Absicht erstelltem Inhalt kann zu willkürlichem Spoofing bei der Befehlsausführung führen

Beschreibung: Bei der Verarbeitung des Bracketed Paste Mode existierte ein Problem mit der Befehlseinschleusung. Dieses Problem wurde durch eine verbesserte Überprüfung von Sonderzeichen behoben.

CVE-2018-4106: Simon Hosie

WindowServer

Verfügbar für: macOS High Sierra 10.13.3

Auswirkung: Eine unberechtigte Anwendung kann womöglich Tastatureingaben protokollieren, die in anderen Anwendungen eingegeben wurden, obwohl der sichere Eingabemodus aktiviert ist

Beschreibung: Durch das Scannen des Tastenstatus konnte eine unberechtigte Anwendung Tastatureingaben protokollieren, die in anderen Anwendungen eingegeben wurden, obwohl der sichere Eingabemodus aktiviert war. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2018-4131: Andreas Hegenberg von folivora.AI GmbH

Zusätzliche Danksagung

Sicherheit

Wir danken Abraham Masri (@cheesecakeufo) für seine Unterstützung.

Eintrag am 13. April 2018 hinzugefügt

Informationen zu nicht von Apple gefertigten Produkten sowie nicht von Apple gesteuerte oder geprüfte unabhängige Websites werden ohne Empfehlung und Unterstützung zur Verfügung gestellt. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple übernimmt keine Garantie für die Richtigkeit und Zuverlässigkeit von Drittanbieter-Websites. Die Nutzung des Internets birgt Risiken. Kontaktieren Sie den Hersteller, um zusätzliche Informationen zu erhalten. Andere Produkt- und Firmennamen sind möglicherweise Marken ihrer jeweiligen Eigentümer.

Veröffentlichungsdatum: