Tietoja macOS Sonoma 14.8:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan macOS Sonoma 14.8:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Sonoma 14.8

AMD

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: puskurin ylivuoto on korjattu parantamalla rajojen tarkistusta.

CVE-2025-43312: ABC Research s.r.o.

AppKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: ongelma on ratkaisu estämällä allekirjoittamattomia palveluita käynnistymästä Intel-pohjaisissa Maceissa.

CVE-2025-43321: Mickey Jin (@patch1t)

Apple Online Store Kit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-31268: Csaba Fitzl (@theevilbit) ja Nolan Astrein (Kandji)

AppSandbox

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43285: Zhongquan Li (@Guluisacat), Mickey Jin (@patch1t)

CoreAudio

Saatavuus: macOS Sonoma

Vaikutus: haitallisen videotiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2025-43349: @zlluny yhteistyössä Trend Zero Day Initiativen kanssa

CoreAudio

Saatavuus: macOS Sonoma

Vaikutus: haitallisen äänitiedoston käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43277: Googlen Threat Analysis Group

CoreMedia

Saatavuus: macOS Sonoma

Vaikutus: eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2025-43273: Seo Hyun-gyu (@wh1te4ever), Minghao Lin (@Y1nKoc), 风 (binaryfmyy), BochengXiang (@Crispr), YingQi Shi (@Mas0nShi) ja Dora Orak

CoreServices

Saatavuus: macOS Sonoma

Vaikutus: haitallinen appi saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43305: nimetön tutkija, Mickey Jin (@patch1t)

GPU Drivers

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-43326: Wang Yu (Cyberserval)

IOHIDFamily

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-43302: Keisuke Hosoda

IOKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2025-31255: Csaba Fitzl (@theevilbit, Kandji)

Kernel

Saatavuus: macOS Sonoma

Vaikutus: paikalliseen käyttöliittymään yhdistetty UDP-palvelinsoketti saattoi yhdistyä kaikkiin käyttöliittymiin.

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2025-43359: Viktor Oreshkin

LaunchServices

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-43231: Mickey Jin (@patch1t), Kirin@Pwnrin ja LFY@secsys (Fudan-yliopisto), nimetön tutkija

libc

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla validointia.

CVE-2025-43299: Nathaniel Oh (@calysteon)

CVE-2025-43295: Nathaniel Oh (@calysteon)

Libinfo

Saatavuus: macOS Sonoma

Vaikutus: Haitallisen merkkijonon käsitteleminen saattoi johtaa keon vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2025-43353: Nathaniel Oh (@calysteon)

MediaLibrary

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2025-43319: Hikerell (Loadshine Lab)

MigrationKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2025-43315: Rodolphe Brunetti (@eisw0lf, Lupus Nova)

MobileStorageMounter

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43355: Dawuge (Shuffle Team)

Notification Center

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään ilmoituksiin liittyviä yhteystietoja Ilmoituskeskuksessa.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2025-43301: LFY@secsys (Fudan-yliopisto)

PackageKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: Hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2025-43298: nimetön tutkija

Perl

Saatavuus: macOS Sonoma

Vaikutus: Perlissä esiintyi useita ongelmia.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2025-40909

Printing

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-31269: Zhongcheng Li (IES Red Team, ByteDance)

Ruby

Saatavuus: macOS Sonoma

Vaikutus: tiedoston käsitteleminen saattoi aiheuttaa palveluneston tai mahdollisesti paljastaa muistin sisällön.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2024-27280

Screenshots

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä ottamaan näyttökuvan apista, joka siirtyi koko näytön tilaan tai poistui siitä.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-31259: nimetön tutkija

Security Initialization

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: tiedostokaranteenin ohittaminen on ratkaistu lisäämällä tarkistuksia.

CVE-2025-43332: nimetön tutkija

SharedFileList

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2025-43293: nimetön tutkija

SharedFileList

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: käyttöoikeusongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2025-43291: Ye Zhang (Baidu Security)

SharedFileList

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43286: pattern-f (@pattern_F_), @zlluny

Shortcuts

Saatavuus: macOS Sonoma

Vaikutus: pikakomento saattoi pystyä ohittamaan eristysrajoitukset.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2025-43358: 정답이 아닌 해답

Siri

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: tietosuojaongelma ratkaistiin siirtämällä arkaluonteisia tietoja.

CVE-2025-43367: Kirin (@Pwnrin), Cristian Dinca (Tudor Vianu National High School of Computer Science, Romania)

Spell Check

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: Hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2025-43190: Noah Gregory (wts.dev)

Spotlight

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-24197: Rodolphe Brunetti (@eisw0lf, Lupus Nova)

Storage

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43341: nimetön tutkija

StorageKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: Hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2025-43314: Mickey Jin (@patch1t)

StorageKit

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: kilpailutilanne on korjattu parantamalla tilankäsittelyä.

CVE-2025-43304: Mickey Jin (@patch1t)

Touch Bar

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: ongelma on ratkaistu lisäämällä oikeustarkistuksia.

CVE-2025-43311: nimetön tutkija, Justin Elliot Fu

Touch Bar Controls

Saatavuus: macOS Sonoma

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu lisäämällä oikeustarkistuksia.

CVE-2025-43308: nimetön tutkija

WindowServer

Saatavuus: macOS Sonoma

Vaikutus: appi saattaa huijata käyttäjän kopioimaan arkaluonteisia tietoja leikepöydälle.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43310: nimetön tutkija

Kiitokset

Airport

Haluamme kiittää Csaba Fitzliä (@theevilbit, Kandji) hänen antamastaan avusta.

libpthread

Haluamme kiittää avusta Nathaniel Oh’ta (@calysteon).

libxml2

Haluamme kiittää avusta Nathaniel Oh’ta (@calysteon) ja Sergei Glazunovia (Google Project Zero).

SharedFileList

Haluamme kiittää avusta Ye Zhangia (Baidu Security).

Wi-Fi

Haluamme kiittää avusta Csaba Fitzliä (@theevilbit, Kandji), Noah Gregorya (wts.dev), Wojciech Regulaa (SecuRing, wojciechregula.blog) ja nimetöntä tutkijaa.