Tietoja macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.
Tässä dokumentissa kerrotaan macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.
Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.
macOS Mojave 10.14.5, suojauspäivitys 2019-003 High Sierra, suojauspäivitys 2019-003 Sierra
Käyttöaputoimintojen sovelluskehys
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2019-8603: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa
AMD
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8635: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Appipalomuuri
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.
CVE-2019-8590: Ison-Britannian National Cyber Security Centre (NCSC)
Arkistotyökalu
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.
Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.
CVE-2019-8640: Ash Fox (Fitbit Product Security)
Bluetooth
Saatavuus: macOS Mojave 10.14.4
Vaikutus: FIDO Security Keyn Bluetooth Low Energy (BLE) -version Bluetooth-parinmuodostuksen protokolla on määritetty virheellisesti, minkä vuoksi lähellä oleva hyökkääjä saattaa pystyä kaappaamaan Bluetooth-liikenteen parinmuodostuksen aikana.
Kuvaus: Ongelma ratkaistiin poistamalla käytöstä lisävarusteet, joiden Bluetooth-yhteys on suojaamaton. Asiakkaiden, jotka käyttävät Googlen Titan Security Keyn Bluetooth Low Energy (BLE) -versiota, tulee tutustua Androidin kesäkuun tiedotteisiin ja Googlen varoituksiin ja tehdä tarvittavat toimet.
CVE-2019-2102: Matt Beaver ja Erik Peterson (Microsoft Corp).
CoreAudio
Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.
CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CoreAudio
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CoreText
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.
Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.
CVE-2019-8582: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa
DesktopServices
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haittaohjelma saattoi ohittaa Gatekeeper-tarkistukset.
Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2019-8589: Andreas Clementi, Stefan Haselwanter ja Peter Stelzhammer (AV-Comparatives)
Levytiedostot
Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)
EFI
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Käyttäjä voi olla odottamatta kirjautuneena toisen käyttäjän tilille
Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.
CVE-2019-8634: Jenny Sprenger ja Maik Hoepfel
Intelin grafiikkaohjain
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8616: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Intelin grafiikkaohjain
Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin alustusongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8629: Arash Tohidi (Solita Oy)
IOAcceleratorFamily
Saatavuus: macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2018-4456: Cisco Talosin Tyler Bohan
IOKit
Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Paikallinen käyttäjä saattoi pystyä lataamaan allekirjoittamattomia kernel-laajennuksia.
Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.
CVE-2019-8606: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Kernel
Saatavuus: macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2019-8633: Zhuo Liang (Qihoo 360 Vulcan Team)
Kernel
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8525: Zhuo Liang ja shrek_wzw (Qihoo 360 Nirvan Team)
Kernel
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.
Kuvaus: Rajojen ulkopuolisen lukemisen ongelma saattoi johtaa kernel-muistin paljastumiseen. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.
CVE-2019-8547: derrek (@derrekr6)
Kernel
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.
Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.
CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)
Kernel
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.
Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa
Viestit
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän palveluneston.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8573: natashenka (Google Project Zero)
Viestit
Saatavuus: macOS Mojave 10.14.4
Vaikutus: iMessage-keskusteluista poistetut henkilöt saattoivat edelleen pystyä muuttamaan tilaa.
Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.
CVE-2019-8631: Jamie Bishop (Dynastic)
Microcode
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Ennakoivaa suoritusta hyödyntävät latausportit, täyttöpuskurit ja tallennuspuskurit voivat mikroprosessoreilla varustetuissa järjestelmissä sallia tietojen mahdollisen paljastumisen sivukanavan kautta hyökkääjälle, jolla on paikalliset käyttöoikeudet.
Kuvaus: Useita tietojen paljastumiseen liittyviä ongelmia saatiin osittain korjattua päivittämällä mikrokoodi ja muuttamalla käyttöjärjestelmän ajoitustoimintoa siten, että se eristää järjestelmän selaimessa suoritettavasta verkkosisällöstä. Näiden ongelmien ratkaisemiseksi käytettävissä on muita valinnaisia ongelmien lievennystapoja, joilla voidaan poistaa käytöstä hypersäietekniikka ja ottaa oletusarvoisesti käyttöön mikrokoodipohjaisia ratkaisuja kaikille prosesseille. Lievennystapojen tietoja on osoitteessa https://support.apple.com/fi-fi/HT210107.
CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin (University of Michigan); ja Yuval Yarom (University of Adelaide)
CVE-2018-12127: Brandon Falk (Microsoft Windows Platform Security Team); ja Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel)
CVE-2018-12130: Giorgi Maisuradze (Microsoft Research); Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology); Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos ja Cristiano Giuffrida (VUSec group, VU Amsterdam); Volodymyr Pikhur; ja Dan Horea Lutas (BitDefender)
CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); ja Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology)
Suojaus
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8604: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa
SQLite
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.
CVE-2019-8577: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8600: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.
CVE-2019-8598: Omer Gull (Checkpoint Research)
SQLite
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.
Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2019-8602: Omer Gull (Checkpoint Research)
StreamingZip
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.
Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.
CVE-2019-8568: Dany Lisiansky (@DanyL931)
sysdiagnose
Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.
CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)
Touch Bar -tuki
Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8569: Viktor Oreshkin (@stek29)
WebKit
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)
CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)
CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8586: nimetön tutkija
CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)
CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)
CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)
CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö
CVE-2019-8611: Samuel Groß (Google Project Zero)
CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa
CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)
CVE-2019-8622: Samuel Groß (Google Project Zero)
CVE-2019-8623: Samuel Groß (Google Project Zero)
CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)
WebKit
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.
Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)
Wi-Fi
Saatavuus: macOS Mojave 10.14.4
Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.
Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.
CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Kiitokset
CoreAudio
Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.
CoreFoundation
Haluamme kiittää m4bln:ää, Xiangqian Zhangia, Huiming Liuta (Tencent Xuanwu Lab), Vozzieta ja Ramia heidän avustaan.
Kernel
Haluamme kiittää Denis Kopyriniä hänen avustaan.
PackageKit
Haluamme kiittää Csaba Fitzliä (@theevilbit) hänen avustaan.
Safari
Haluamme kiittää Michael Ballia (Gradescope, Turnitin) hänen avustaan.
Järjestelmäasetukset
Haluamme kiittää nimetöntä tutkijaa hänen avustaan.
Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.