Tietoja macOS Sequoia 15.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan macOS Sequoia 15.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuussivulta.

macOS Sequoia 15.2

Apple Software Restore

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54477: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit, Kandji)

AppleGraphicsControl

Saatavuus: macOS Sequoia

Vaikutus: haitallisen videotiedoston jäsentäminen saattoi aiheuttaa järjestelmän odottamattoman sulkeutumisen

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44220: D4m0n

AppleMobileFileIntegrity

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-54527: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Saatavuus: macOS Sequoia

Vaikutus: paikallinen hyökkääjä saattoi saada pääsyn käyttäjän avainnipun kohteisiin.

Kuvaus: ongelma ratkaistiin ottamalla käyttöön vahvistettu suorituksenaikainen suojaus.

CVE-2024-54490: Mickey Jin (@patch1t)

Audio

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-54529: Dillon Franke yhteistyössä Google Project Zeron kanssa

Crash Reporter

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-54513: nimetön tutkija

Crash Reporter

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.

CVE-2024-44300: nimetön tutkija

DiskArbitration

Saatavuus: macOS Sequoia

Vaikutus: toinen käyttäjä pystyi käyttämään salattua taltiota salasanaa pyytämättä.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2024-54466: Michael Cohen

Disk Utility

Saatavuus: macOS Sequoia

Vaikutus: näkyviintuontikomennon suorittaminen saattoi odottamatta suorittaa mielivaltaista koodia.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2024-54489: D’Angelo Gonzalez, CrowdStrike

FontParser

Saatavuus: macOS Sequoia

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54486: Hossein Lotfi (@hosselot, Trend Micron Zero Day Initiative)

Foundation

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.

CVE-2024-44291: Arsenii Kostromin (0x3c3e)

ImageIO

Saatavuus: macOS Sequoia

Vaikutus: haitallisen kuvatiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54500: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa

IOMobileFrameBuffer

Saatavuus: macOS Sequoia

Vaikutus: hyökkääjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen DCP-laiteohjelmistossa.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-54506: Ye Zhang (@VAR10CK, Baidu Security)

Kernel

Saatavuus: macOS Sequoia

Vaikutus: hyökkääjä saattoi pystyä luomaan kirjoitussuojatun muistikuvauksen, johon voi kirjoittaa.

Kuvaus: kilpailutilanne on ratkaistu lisätarkistuksilla.

CVE-2024-54494: sohybbyk

Kernel

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: kilpailutilanne on ratkaistu parantamalla lukitusta.

CVE-2024-54510: Joseph Ravichandran (@0xjprx, MIT CSAIL)

Kernel

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44245: nimetön tutkija

Kernel

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä ohittamaan kASLR:n.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-54531: Hyerean Jang, Taehun Kim ja Youngjoo Shin

LaunchServices

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2024-54465: nimetön tutkija

libexpat

Saatavuus: macOS Sequoia

Vaikutus: etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2024-45490

libxpc

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54514: nimetön tutkija

libxpc

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-44225: 风沐云烟 (@binary_fmyy)

Logging

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä määrittämään käyttäjän nykyisen sijainnin.

Kuvaus: ongelma on ratkaistu tyhjentämällä kirjaaminen.

CVE-2024-54491: Kirin (@Pwnrin)

MediaRemote

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu tyhjentämällä kirjaaminen.

CVE-2024-54484: Meng Zhang (鲸落, NorthSea)

Notification Center

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-54504: 神罚 (@Pwnrin)

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54474: Mickey Jin (@patch1t)

CVE-2024-54476: Mickey Jin (@patch1t), Bohdan Stasiuk (@Bohdan_Stasiuk)

Passwords

Saatavuus: macOS Sequoia

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä muuttamaan verkkoliikennettä.

Kuvaus: ongelma on ratkaistu käyttämällä tiedonsiirtoon verkossa HTTPS-protokollaa.

CVE-2024-54492: Talal Haj Bakry ja Tommy Mysk (Mysk Inc., @mysk_co)

Perl

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2023-32395: Arsenii Kostromin (0x3c3e)

Safari

Saatavuus: macOS Sequoia

Vaikutus: laitteessa, jossa oli käytössä suojattu lähetys, verkkosivuston lisääminen Safarin lukulistaan saattoi paljastaa alkuperäisen IP-osoitteen verkkosivustolle.

Kuvaus: ongelma on ratkaistu parantamalla Safari-lähtöisten pyyntöjen reititystä.

CVE-2024-44246: Jacob Braun

SceneKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen tiedoston käsittely saattoi johtaa palvelunestoon.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54501: Michael DePlante (@izobashi, Trend Micron Zero Day Initiative)

SharedFileList

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2024-54515: nimetön tutkija

SharedFileList

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä korvaamaan mielivaltaisia tiedostoja.

Kuvaus: logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2024-54528: nimetön tutkija

SharedFileList

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä käyttämään mielivaltaisia tiedostoja.

Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.

CVE-2024-54524: nimetön tutkija

SharedFileList

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2024-54498: nimetön tutkija

Shortcuts

Saatavuus: macOS Sequoia

Vaikutus: mikrofonin käytön yksityisyysilmaisinten attribuuttitiedot saattoivat olla virheelliset.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-54493: Yokesh Muthu K

StorageKit

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44243: Mickey Jin (@patch1t), Jonathan Bar Or (@yo_yo_yo_jbo, Microsoft)

StorageKit

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44224: Amy (@asentientbot)

Swift

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.

CVE-2024-54495: Claudio Bozzato ja Francesco Benvenuto / Cisco Talos, Arsenii Kostromin (0x3c3e)

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-54479: Seunghyun Lee

CVE-2024-54502: Brendon Tiszka, Google Project Zero

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-54508: linjy (HKUS3Lab) ja chluo (WHUSecLab), Xiangwei Zhang (Tencent Security YUNDING LAB)

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-54505: Gary Kwong

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-54534: Tashita Software Security

Kiitokset

ATS

Haluamme kiittää avusta Trend Micron Zero Day Initiativen parissa työskentelevää Hossein Lotfia (@hosselot).

CUPS

Haluamme kiittää avusta evilsocketia.

FaceTime

Haluamme kiittää avusta 椰椰.

FaceTime Foundation

Haluamme kiittää avusta Joshua Pellecchiaa.

Kernel

Haluamme kiittää avusta Zweigiä (Kunlun Lab).

NSOpenPanel

Haluamme kiittää avusta Shaheen Fazimia.

Photos

Haluamme kiittää avusta Chi Yuan Changia (ZUSO ART) ja nimimerkkiä taikosoup.

Proximity

Haluamme kiittää avusta Junming C:tä (@Chapoly1305) ja Prof. Qiang Zengiä George Mason Universitystä.

Safari

Haluamme kiittää avusta Jaydev Ahirea.

Safari Private Browsing

Haluamme kiittää avusta Richard Hyunho Imia (@richeeta, Route Zero Security).

Sandbox

Haluamme kiittää avusta IES Red Teamia (ByteDance).

Swift

Haluamme kiittää avusta Marc Schoenefeldia, Dr. rer. nat.

WebKit

Haluamme kiittää avusta Hafiizhia.

WindowServer

Haluamme kiittää avusta Felix Kratzia.