Informationen zum Sicherheitsinhalt von macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave und Sicherheitsupdate 2020-001 High Sierra

In diesem Dokument wird der Sicherheitsinhalt von macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave und Sicherheitsupdate 2020-001 High Sierra beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

macOS Catalina 10.15.3, Sicherheitsupdate 2020-001 Mojave, Sicherheitsupdate 2020-001 High Sierra

AnnotationKit

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3877: Ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

apache_mod_php

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Mehrere Probleme in PHP

Beschreibung: Mehrere Probleme wurden durch das Update von PHP auf Version 7.3.11 behoben.

CVE-2019-11043

Audio

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3857: Zhuo Liang vom Qihoo 360 Vulcan Team

autofs

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Das Suchen und Öffnen einer Datei aus einer von einem Angreifer kontrollierten NFS-Aktivierung kann Gatekeeper umgehen.

Beschreibung: Dieses Problem wurde durch zusätzliche Gatekeeper-Überprüfungen von über eine Netzwerkfreigabe eingebundenen Dateien behoben.

CVE-2020-3866: Jose Castro Almeida (@HackerOn2Wheels) und René Kroka (@rene_kroka)

CoreBluetooth

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3848: Jianjun Dai von Qihoo 360 Alpha Lab

CVE-2020-3849: Jianjun Dai von Qihoo 360 Alpha Lab

CVE-2020-3850: Jianjun Dai von Qihoo 360 Alpha Lab

CoreBluetooth

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Ein entfernter Angreifer kann möglicherweise ein Speicherleck verursachen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3847: Jianjun Dai von Qihoo 360 Alpha Lab

Crash Reporter

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Ein Schadprogramm kann möglicherweise auf beschränkte Dateien zugreifen.

Beschreibung: Bei der Verarbeitung von Symlinks bestand ein Überprüfungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung der Symlinks behoben.

CVE-2020-3835: Csaba Fitzl (@theevilbit)

crontab

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3863: James Hutchins

In Apps gefunden

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Auf verschlüsselte Daten kann auf unangemessene Weise zugegriffen werden.

Beschreibung: Beim Zugriff von Siri-Vorschlägen auf verschlüsselte Daten ist ein Problem aufgetreten. Das Problem wurde behoben, indem der Zugriff auf verschlüsselte Daten eingeschränkt wurde.

CVE-2020-9774: Bob Gendler vom National Institute of Standards and Technology

Bildbearbeitung

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Das Anzeigen einer in böser Absicht erstellten JPEG-Datei kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3827: Samuel Groß von Google Project Zero

ImageIO

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Bilddatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3826: Samuel Groß von Google Project Zero

CVE-2020-3870

CVE-2020-3878: Samuel Groß von Google Project Zero

CVE-2020-3880: Samuel Groß von Google Project Zero

Intel-Grafiktreiber

Verfügbar für: macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3845: Zhuo Liang vom Qihoo 360 Vulcan Team

IOAcceleratorFamily

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3837: Brandon Azad von Google Project Zero

IOThunderboltFamily

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Eine Anwendung kann erhöhte Benutzerrechte erlangen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3851: Xiaolong Bai und Min (Spark) Zheng von Alibaba Inc. und Luyi Xing von der Indiana University Bloomington

IPSec

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Das Laden einer in böswilliger Absicht erstellten Racoon-Konfigurationsdatei könnte zur Ausführung willkürlichen Codes führen.

Beschreibung: Bei der Verarbeitung von Racoon-Konfigurationsdateien trat ein Off-by-one-Problem auf. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2020-3840: @littlelailo

Kernel

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.

CVE-2020-3875: Brandon Azad von Google Project Zero

Kernel

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3872: Haakon Garseg Mørk von Cognite und Cim Stordal von Cognite

Kernel

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein in böswilliger Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3853: Brandon Azad von Google Project Zero

Kernel

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Das Layout des Kernelspeichers kann möglicherweise von einem Schadprogramm ermittelt werden.

Beschreibung: Ein Zugriffsproblem wurde durch verbesserte Speicherverwaltung behoben.

CVE-2020-3836: Brandon Azad von Google Project Zero

Kernel

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2020-3842: Ned Williamson in Zusammenarbeit mit Google Project Zero

CVE-2020-3871: Corellium

libxml2

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten XML-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Größenüberprüfung behoben.

CVE-2020-3846: Ranier Vilela

libxpc

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Die Verarbeitung eines in böser Absicht erstellten Strings kann zu einer Heapbeschädigung führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3856: Ian Beer von Google Project Zero

libxpc

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Eine Anwendung kann möglicherweise erhöhte Benutzerrechte erlangen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2020-3829: Ian Beer von Google Project Zero

PackageKit

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein Schadprogramm kann möglicherweise beliebige Dateien überschreiben.

Beschreibung: Bei der Verarbeitung von Symlinks bestand ein Überprüfungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung der Symlinks behoben.

CVE-2020-3830: Csaba Fitzl (@theevilbit)

Sicherheit

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Schadprogramm kann die Sandbox umgehen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2020-3854: Jakob Rieck (@0xdead10cc) und Maximilian Blochberger von der Security in Distributed Systems Group, Universität Hamburg

sudo

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: In bestimmten Konfigurationen kann ein lokaler Angreifer willkürlichen Code ausführen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-18634: Apple

System

Verfügbar für: macOS High Sierra 10.13.6 und macOS Mojave 10.14.6

Auswirkung: Ein Schadprogramm kann möglicherweise beliebige Dateien überschreiben.

Beschreibung: Ein Zugriffsproblem wurde durch verbesserte Zugriffsbeschränkungen behoben.

CVE-2020-3855: Csaba Fitzl (@theevilbit)

WLAN

Verfügbar für: macOS Catalina 10.15.2

Auswirkung: Ein Programm kann eingeschränkten Speicher lesen.

Beschreibung: Ein Überprüfungsproblem wurde durch eine verbesserte Eingabebereinigung behoben.

CVE-2020-3839: s0ngsari von Theori und Lee von der Seoul National University in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WLAN

Verfügbar für: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 und macOS Catalina 10.15.2

Auswirkung: Ein entfernter Angreifer kann möglicherweise einen unerwarteten Systemabbruch oder einen Fehler beim Kernelspeicher verursachen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2020-3843: Ian Beer von Google Project Zero

wifivelocityd

Verfügbar für: macOS High Sierra 10.13.6, macOS Mojave 10.14.6 und macOS Catalina 10.15.2

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Das Problem wurde durch verbesserte Berechtigungslogik behoben.

CVE-2020-3838: Dayton Pidhirney (@_watbulb)

Zusätzliche Danksagung

Fotos-Speicher

Wir möchten uns bei Alison Husain von der UC Berkeley für die Unterstützung bedanken.

SharedFileList

Wir möchten uns bei Patrick Wardle von Jamf für die Unterstützung bedanken.