Tietoja macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tässä dokumentissa kerrotaan macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Mojave 10.14.5, suojauspäivitys 2019-003 High Sierra, suojauspäivitys 2019-003 Sierra

Käyttöaputoimintojen sovelluskehys

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8603: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

AMD

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8635: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Appipalomuuri

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8590: Ison-Britannian National Cyber Security Centre (NCSC)

Arkistotyökalu

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2019-8640: Ash Fox (Fitbit Product Security)

Bluetooth

Saatavuus: macOS Mojave 10.14.4

Vaikutus: FIDO Security Keyn Bluetooth Low Energy (BLE) -version Bluetooth-parinmuodostuksen protokolla on määritetty virheellisesti, minkä vuoksi lähellä oleva hyökkääjä saattaa pystyä kaappaamaan Bluetooth-liikenteen parinmuodostuksen aikana.

Kuvaus: Ongelma ratkaistiin poistamalla käytöstä lisävarusteet, joiden Bluetooth-yhteys on suojaamaton. Asiakkaiden, jotka käyttävät Googlen Titan Security Keyn Bluetooth Low Energy (BLE) -versiota, tulee tutustua Androidin kesäkuun tiedotteisiin ja Googlen varoituksiin ja tehdä tarvittavat toimet.

CVE-2019-2102: Matt Beaver ja Erik Peterson (Microsoft Corp).

CoreAudio

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.

CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreAudio

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreText

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.

CVE-2019-8582: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

DesktopServices

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi ohittaa Gatekeeper-tarkistukset.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2019-8589: Andreas Clementi, Stefan Haselwanter ja Peter Stelzhammer (AV-Comparatives)

Levytiedostot

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

EFI

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Käyttäjä voi olla odottamatta kirjautuneena toisen käyttäjän tilille

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2019-8634: Jenny Sprenger ja Maik Hoepfel

Intelin grafiikkaohjain

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8616: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Intelin grafiikkaohjain

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin alustusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8629: Arash Tohidi (Solita Oy)

IOAcceleratorFamily

Saatavuus: macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4456: Cisco Talosin Tyler Bohan

IOKit

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä lataamaan allekirjoittamattomia kernel-laajennuksia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8606: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kernel

Saatavuus: macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8633: Zhuo Liang (Qihoo 360 Vulcan Team)

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-8525: Zhuo Liang ja shrek_wzw (Qihoo 360 Nirvan Team)

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.

Kuvaus: Rajojen ulkopuolisen lukemisen ongelma saattoi johtaa kernel-muistin paljastumiseen. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2019-8547: derrek (@derrekr6)

Kernel

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa

Viestit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän palveluneston.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8573: natashenka (Google Project Zero)

Viestit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: iMessage-keskusteluista poistetut henkilöt saattoivat edelleen pystyä muuttamaan tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8631: Jamie Bishop (Dynastic)

Microcode

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ennakoivaa suoritusta hyödyntävät latausportit, täyttöpuskurit ja tallennuspuskurit voivat mikroprosessoreilla varustetuissa järjestelmissä sallia tietojen mahdollisen paljastumisen sivukanavan kautta hyökkääjälle, jolla on paikalliset käyttöoikeudet.

Kuvaus: Useita tietojen paljastumiseen liittyviä ongelmia saatiin osittain korjattua päivittämällä mikrokoodi ja muuttamalla käyttöjärjestelmän ajoitustoimintoa siten, että se eristää järjestelmän selaimessa suoritettavasta verkkosisällöstä. Näiden ongelmien ratkaisemiseksi käytettävissä on muita valinnaisia ongelmien lievennystapoja, joilla voidaan poistaa käytöstä hypersäietekniikka ja ottaa oletusarvoisesti käyttöön mikrokoodipohjaisia ratkaisuja kaikille prosesseille. Lievennystapojen tietoja on osoitteessa https://support.apple.com/fi-fi/HT210107.

CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin (University of Michigan); ja Yuval Yarom (University of Adelaide)

CVE-2018-12127: Brandon Falk (Microsoft Windows Platform Security Team); ja Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel)

CVE-2018-12130: Giorgi Maisuradze (Microsoft Research); Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology); Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos ja Cristiano Giuffrida (VUSec group, VU Amsterdam); Volodymyr Pikhur; ja Dan Horea Lutas (BitDefender)

CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); ja Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology)

Suojaus

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8604: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

StreamingZip

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.

CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)

Touch Bar -tuki

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8569: Viktor Oreshkin (@stek29)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)

CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

CVE-2019-8611: Samuel Groß (Google Project Zero)

CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

Wi-Fi

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kiitokset

CoreAudio

Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.

CoreFoundation

Haluamme kiittää m4bln:ää, Xiangqian Zhangia, Huiming Liuta (Tencent Xuanwu Lab), Vozzieta ja Ramia heidän avustaan.

Kernel

Haluamme kiittää Denis Kopyriniä hänen avustaan.

PackageKit

Haluamme kiittää Csaba Fitzliä (@theevilbit) hänen avustaan.

Safari

Haluamme kiittää Michael Ballia (Gradescope, Turnitin) hänen avustaan.

Järjestelmäasetukset

Haluamme kiittää nimetöntä tutkijaa hänen avustaan.