Tietoja macOS Mojave 10.14:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan macOS Mojave 10.14:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

macOS Mojave 10.14

Bluetooth

Saatavuus: iMac (21,5-tuumainen, loppuvuosi 2012), iMac (27-tuumainen, loppuvuosi 2012), iMac (21,5-tuumainen, loppuvuosi 2013), iMac (21,5-tuumainen, vuoden 2014 puoliväli), iMac (Retina 5K, 27-tuumainen, loppuvuosi 2014), iMac (21,5-tuumainen, loppuvuosi 2015), Mac mini (vuoden 2011 puoliväli), Mac mini Server (vuoden 2011 puoliväli), Mac mini (loppuvuosi 2012), Mac mini Server (loppuvuosi 2012), Mac mini (loppuvuosi 2014), Mac Pro (loppuvuosi 2013), MacBook Air (11-tuumainen, vuoden 2011 puoliväli), MacBook Air (13-tuumainen, vuoden 2011 puoliväli), MacBook Air (11-tuumainen, vuoden 2012 puoliväli), MacBook Air (13-tuumainen, vuoden 2012 puoliväli), MacBook Air (11-tuumainen, vuoden 2013 puoliväli), MacBook Air (13-tuumainen, vuoden 2013 puoliväli), MacBook Air (11-tuumainen, alkuvuosi 2015), MacBook Air (13-tuumainen, alkuvuosi 2015), MacBook Pro (13-tuumainen, vuoden 2012 puoliväli), MacBook Pro (15-tuumainen, vuoden 2012 puoliväli), MacBook Pro (Retina, 13-tuumainen, alkuvuosi 2013), MacBook Pro (Retina, 15-tuumainen, alkuvuosi 2013), MacBook Pro (Retina, 13-tuumainen, loppuvuosi 2013) ja MacBook Pro (Retina, 15-tuumainen, loppuvuosi 2013).

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattaa kyetä katkaisemaan Bluetooth-liikenteen.

Kuvaus: Bluetoothissa oli annettujen tietojen vahvistusongelma. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2018-5383: Lior Neumann ja Eli Biham

Alla luetellut päivitykset ovat saatavilla seuraaviin Mac-malleihin: MacBook (alkuvuosi 2015 ja uudemmat), MacBook Air (vuoden 2012 puoliväli ja uudemmat), MacBook Pro (vuoden 2012 puoliväli ja uudemmat), Mac mini (loppuvuosi 2012 ja uudemmat), iMac (loppuvuosi 2012 ja uudemmat), iMac Pro (kaikki mallit) ja Mac Pro (loppuvuosi 2013, vuoden 2010 puoliväli ja vuoden 2012 puolivälin mallit, joissa on suositeltu Metal-yhteensopiva näytönohjain, esimerkiksi MSI Gaming Radeon RX 560 tai Sapphire Radeon PULSE RX 580).

afpserver

Vaikutus: Etähyökkääjä saattaa voida hyökätä AFP-palvelimille HTTP-asiakkaiden kautta.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2018-4295: Jianjun Chen (@whucjj, Tsinghua University ja UC Berkeley)

App Store

Vaikutus: Haitallinen ohjelma saattoi pystyä selvittämään tietokoneen omistajan Apple ID:n.

Kuvaus: Apple ID:n käsittelyssä oli lupaongelma. Ongelma on ratkaistu parantamalla käytönvalvontaa.

CVE-2018-4324: Sergii Kryvoblotskyi (MacPaw Inc.)

AppleGraphicsControl

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2018-4417: Trend Micron Zero Day Initiativen parissa työskentelevä Lee (Information Security Lab, Yonsei University)

Ohjelmapalomuuri

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2018-4353: Abhinav Bansal (LinkedIn Inc.)

APR

Vaikutus: Perlissä oli useita puskurin ylivuoto-ongelmia.

Kuvaus: Useita Perlin ongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2017-12613: Craig Young (Tripwire VERT)

CVE-2017-12618: Craig Young (Tripwire VERT)

ATS

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4411: Trend Micron Zero Day Initiativen parissa työskentelevä lilang wu moony Li (Trend Micro)

ATS

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2018-4308: Mohamed Ghannam (@_simo36)

Automaattinen lukituksen avaus

Vaikutus: Haitallinen ohjelma saattoi pystyä käyttämään paikallisten käyttäjien Apple ID:itä.

Kuvaus: Valtuutuksen vahvistuksessa oli tarkistusongelma. Ongelma on ratkaistu parantamalla prosessin valtuutuksen tarkistusta.

CVE-2018-4321: Min (Spark) Zheng ja Xiaolong Bai (Alibaba Inc.)

CFNetwork

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4126: Trend Micron Zero Day Initiativen parissa työskentelevä Bruno Keith (@bkth_)

CoreFoundation

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4412: Ison-Britannian National Cyber Security Centre (NCSC)

CoreFoundation

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4414: Ison-Britannian National Cyber Security Centre (NCSC)

CoreText

Vaikutus: Haitallisen tekstitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2018-4347: Vasyl Tkachuk (Readdle)

Kaatumisen raportoija

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2018-4333: Brandon Azad

CUPS

Vaikutus: Joissakin määrityksissä etähyökkääjä saattoi voida korvata tulostuspalvelimen viestin sisällön mielivaltaisella sisällöllä.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla validointia.

CVE-2018-4153: Michael Hanselmann (hansmi.ch)

CUPS

Vaikutus: Etuoikeutetussa asemassa ollut hyökkääjä saattoi pystyä toteuttamaan palvelunestohyökkäyksen.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla vahvistamista.

CVE-2018-4406: Michael Hanselmann (hansmi.ch)

Sanakirja

Vaikutus: Haitallisen sanakirjatiedoston jäsennys saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: Varmistusongelma salli pääsyn paikallisiin tiedostoihin. Ongelma ratkaistiin annettujen tietojen puhdistamisella.

CVE-2018-4346: Wojciech Reguła (@_r3ggi, SecuRing)

DiskArbitration

Vaikutus: Haittaohjelma saattoi pystyä muuttamaan EFI-järjestelmäosion sisältöä ja suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla, jos suojattu käynnistys ei ollut käytössä.

Kuvaus: DiskArbitrationissa oli käyttöoikeusongelma. Ongelma on ratkaistu omistajuuden lisätarkistuksilla.

CVE-2018-4296: Vitaly Cheptsov

dyld

Vaikutus: Haittaohjelma saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2018-4433: Vitaly Cheptsov

fdesetup

Vaikutus: Voitiin ilmoittaa virheellisesti, että organisaation palautusavaimet ovat läsnä.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8643: Arun Sharma (VMWare)

Laiteohjelmisto

Vaikutus: Hyökkääjä, jolla oli fyysinen pääsy laitteeseen, saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2017-5731: Intel ja Eclypsium

CVE-2017-5732: Intel ja Eclypsium

CVE-2017-5733: Intel ja Eclypsium

CVE-2017-5734: Intel ja Eclypsium

CVE-2017-5735: Intel ja Eclypsium

Grand Central Dispatch

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4426: Brandon Azad

Heimdal

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4331: Brandon Azad

CVE-2018-4332: Brandon Azad

CVE-2018-4343: Brandon Azad

Hypervisor

Vaikutus: Järjestelmät, joiden mikroprosessorit käyttävät ennakoivaa suoritusta ja osoitteiden muuntamista, voivat sallia L1-tietovälimuistissa sijaitsevien tietojen luvattoman paljastumisen hyökkääjälle, jolla on paikalliset käyttöoikeudet ja vierailijan OS-käyttöoikeudet, päätesivuvirheen ja sivukanavan analyysin avulla.

Kuvaus: Tietojen paljastumiseen liittyvä ongelma korjattiin tyhjentämällä L1-tietovälimuisti virtuaalikoneessa.

CVE-2018-3646: Baris Kasikci, Daniel Genkin, Ofir Weisse ja Thomas F. Wenisch (University of Michigan), Mark Silberstein ja Marina Minkin (Technion), Raoul Strackx, Jo Van Bulck ja Frank Piessens (KU Leuven), Rodrigo Branco, Henrique Kawakami, Ke Sun ja Kekai Hu (Intel Corporation) ja Yuval Yarom (University of Adelaide)

iBooks

Vaikutus: Haitallisen iBooks-tiedoston jäsennys saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2018-4355: evi1m0 (bilibili security team)

Intelin grafiikkaohjain

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2018-4396: Yu Wang (Didi Research America)

CVE-2018-4418: Yu Wang (Didi Research America)

Intelin grafiikkaohjain

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Muistin alustusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4351: Trend Micron Zero Day Initiativen parissa työskentelevä Appology Team @ Theori

Intelin grafiikkaohjain

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4350: Yu Wang (Didi Research America)

Intelin grafiikkaohjain

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4334: Google Project Zeron Ian Beer

Intelin grafiikkaohjain

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4451: Tyler Bohan (Cisco Talos)

CVE-2018-4456: Cisco Talosin Tyler Bohan

IOHIDFamily

Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4408: Ian Beer (Google Project Zero)

IOKit

Vaikutus: Haittaohjelma saattoi pystyä poistumaan eristyksestään.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4341: Google Project Zeron Ian Beer

CVE-2018-4354: Google Project Zeron Ian Beer

IOKit

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2018-4383: Apple

IOUserEthernet

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4401: Apple

Kernel

Vaikutus: Haittaohjelma saattoi pystyä vuotamaan arkaluontoisia käyttäjätietoja.

Kuvaus: Etuoikeutetuissa API-kutsuissa oli käyttöoikeusongelma. Ongelma on ratkaistu lisäämällä rajoituksia.

CVE-2018-4399: Fabiano Anemone (@anoane)

Kernel

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä suorittamaan mielivaltaista koodia.

Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2018-4407: Kevin Backhouse (Semmle Ltd.)

Kernel

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4336: Brandon Azad

CVE-2018-4337: Google Project Zeron Ian Beer

CVE-2018-4340: Mohamed Ghannam (@_simo36)

CVE-2018-4344: Ison-Britannian National Cyber Security Centre (NCSC)

CVE-2018-4425: Trend Micron Zero Day Initiativen parissa työskentelevä cc ja Trend Micron Zero Day Initiativen parissa työskentelevän Trend Micron Juwei Lin (@panicaII)

LibreSSL

Vaikutus: LibreSSL:ssä on ratkaistu useita ongelmia tällä päivityksellä.

Kuvaus: Useita ongelmia ratkaistiin päivittämällä LibreSSL:n versioon 2.6.4.

CVE-2015-3194

CVE-2015-5333

CVE-2015-5334

CVE-2016-0702

Kirjautumisikkuna

Vaikutus: Paikallinen käyttäjä saattoi kyetä aiheuttamaan palveluneston.

Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.

CVE-2018-4348: Ken Gannon (MWR InfoSecurity) ja Christian Demko (MWR InfoSecurity)

mDNSOffloadUserClient

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4326: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija ja Zhuo Liang (Qihoo 360 Nirvan Team)

MediaRemote

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Käyttöongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2018-4310: CodeColorist (Ant-Financial LightYear Labs)

Microcode

Vaikutus: Järjestelmät, joiden mikroprosessorit käyttävät ennakoivaa suoritusta ja ennakoivaa muistin lukemisten suoritusta ennen kaikkien aiempien muistikirjoitusten osoitteiden tuntemista, voivat sallia tietojen luvattoman paljastamisen hyökkääjälle, jolla on paikalliset käyttöoikeudet, sivukanavan analyysin avulla.

Kuvaus: Tietojen paljastumisongelma on korjattu mikrokoodipäivityksellä. Tällä varmistetaan, että vanhoja tietoja, jotka luetaan äskettäin kirjoitetuista osoitteista, ei voi lukea ennakoivan sivukanavan avulla.

CVE-2018-3639: Jann Horn (@tehjh, Google Project Zero, GPZ) ja Ken Johnson (Microsoft Security Response Center, MSRC)

Suojaus

Vaikutus: Paikallinen käyttäjä saattoi kyetä aiheuttamaan palveluneston.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4395: Patrick Wardle (Digita Security)

Suojaus

Vaikutus: Hyökkääjä saattoi pystyä hyödyntämään RC4-salausalgoritmin heikkouksia.

Kuvaus: Ongelma on ratkaistu poistamalla RC4.

CVE-2016-1777: Pepi Zawodsky

Spotlight

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4393: Lufeng Li

Symptom Framework

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2018-4203: Trend Micron Zero Day Initiativen parissa työskentelevä Bruno Keith (@bkth_)

Teksti

Vaikutus: Haitallisen tekstitiedoston käsittely saattoi johtaa palvelunestoon.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla vahvistamista.

CVE-2018-4304: jianan.huang (@Sevck)

Wi-Fi

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2018-4338: Trend Micron Zero Day Initiativen parissa työskentelevä Lee @ SECLAB (Yonsei University)

Kiitokset

Käyttöaputoimintojen sovelluskehys

Haluamme kiittää Ryan Govostesia hänen avustaan.

Perustiedot

Haluamme kiittää NESO Security Labs GmbH:n Andreas Kurtzia (@aykay) hänen avustaan.

CoreDAV

Haluamme kiittää Matthew Thomasia (Verisign) hänen avustaan.

CoreGraphics

Haluamme kiittää Roblox Corporationin Nitin Aryaa hänen avustaan.

CoreSymbolication

Haluamme kiittää Brandon Azadia hänen avustaan.

CUPS

Haluamme kiittää Michael Hanselmannia (hansmi.ch) hänen avustaan.

IOUSBHostFamily

Haluamme kiittää Dragos Ruiua (CanSecWest) hänen avustaan.

Kernel

Haluamme kiittää Brandon Azadia hänen avustaan.

Mail

Haluamme kiittää Rocket Internet SE:n Alessandro Avaglianoa, The New York Timesin John Whiteheadia, Omicron Software Systemsin Kelvin Delbarrea ja Zbyszek Żółkiewskia heidän avustaan.

Pikakatselu

Haluamme kiittää lokihardtia (Google Project Zero), Wojciech Regułaa (@_r3ggi, SecuRing) ja Patrick Wardlea (Digita Security) heidän avustaan.

Suojaus

Haluamme kiittää seuraavia heidän avustaan: Christoph Sinai, Daniel Dudek (@dannysapples, The Irish Times), Filip Klubička (@lemoncloak, ADAPT Centre, Dublin Institute of Technology), Horatiu Graur (SoftVision), Istvan Csanady (Shapr3D), Omar Barkawi (ITG Software, Inc.), Phil Caleno, Wilson Ding ja nimetön tutkija.

SQLite

Haluamme kiittää NESO Security Labs GmbH:n Andreas Kurtzia (@aykay) hänen avustaan.

Pääte

Haluamme kiittää Federico Bentoa hänen avustaan.

Time Machine

Haluamme kiittää Matthew Thomasia (Verisign) hänen avustaan.

WindowServer

Haluamme kiittää Patrick Wardlea (Digita Security) hänen avustaan.