Tietoja macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tässä dokumentissa kerrotaan macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Mojave 10.14.5, suojauspäivitys 2019-003 High Sierra, suojauspäivitys 2019-003 Sierra

Julkaistu 13.5.2019

Käyttöaputoimintojen sovelluskehys

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8603: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

AMD

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8635: Lilang Wu ja Moony Li (TrendMicro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Ohjelmapalomuuri

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8590: Ison-Britannian National Cyber Security Centre (NCSC)

CoreAudio

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.

CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreAudio

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

DesktopServices

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallinen sovellus saattoi ohittaa Gatekeeper-tarkistukset.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2019-8589: Andreas Clementi, Stefan Haselwanter ja Peter Stelzhammer (AV-Comparatives)

Levytiedostot

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

Kohta päivitetty 14.5.2019

EFI

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Käyttäjä voi olla odottamatta kirjautuneena toisen käyttäjän tilille

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2019-8634: Jenny Sprenger ja Maik Hoepfel

Intelin grafiikkaohjain

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8616: Lilang Wu ja Moony Li (TrendMicro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Intelin grafiikkaohjain

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin alustusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8629: Arash Tohidi (Solita Oy)

IOAcceleratorFamily

Saatavuus: macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4456: Cisco Talosin Tyler Bohan

IOKit

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä lataamaan allekirjoittamattomia kernel-laajennuksia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8606: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-8525: Zhuo Liang ja shrek_wzw (Qihoo 360 Nirvan Team)

Kohta lisätty 14.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.

Kuvaus: Rajojen ulkopuolisen lukemisen ongelma saattoi johtaa kernel-muistin paljastumiseen. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2019-8547: derrek (@derrekr6)

Kohta lisätty 14.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2019-8605: Ned Williamson yhteistyössä Google Project Zeron kanssa

Kernel

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kohta päivitetty 30.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Sovellus saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa

Microcode

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Spekulatiivista suoritusta hyödyntävät latausportit, täyttöpuskurit ja tallennuspuskurit mikroprosessoreilla varustetuissa järjestelmissä voivat sallia pakalliset käyttöoikeudet omaavan käyttäjän mahdollisesti saada käyttöönsä tietoja sivukanavan kautta

Kuvaus: Useita tietojen paljastumiseen liittyviä ongelmia saatiin osittain korjattua päivittämällä mikrokoodi ja muuttamalla käyttöjärjestelmän ajoitustoimintoa siten, että se eristää järjestelmän selaimessa suoritettavasta verkkosisällöstä. Näiden ongelmien ratkaisemiseksi käytettävissä on muita valinnaisia ongelmien lievennystapoja, joilla voidaan poistaa käytöstä hypersäietekniikka ja ottaa oletusarvoisesti käyttöön mikrokoodipohjaisia ratkaisuja kaikille prosesseille. Lievennystapojen tietoja on osoitteessa https://support.apple.com/fi-fi/HT210107.

CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin (University of Michigan); ja Yuval Yarom (University of Adelaide)

CVE-2018-12127: Brandon Falk (Microsoft Windows Platform Security Team); ja Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel)

CVE-2018-12130: Giorgi Maisuradze (Microsoft Research); Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology); Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos ja Cristiano Giuffrida (VUSec group at VU Amsterdam); Volodymyr Pikhur; ja Dan Horea Lutas (BitDefender)

CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); ja Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology)

Kohta lisätty 14.5.2019

Suojaus

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8604: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

StreamingZip

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)

Touch Bar -tuki

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8569: Viktor Oreshkin (@stek29)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)

CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Nimetön yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8611: Samuel Groß, Google Project Zero

CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

Wi-Fi

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kohta lisätty 14.5.2019

Kiitokset

CoreFoundation

Kiitos avusta: m4bln, Xiangqian Zhang, Huiming Liu (Tencent Xuanwu Lab), Vozzie ja Rami.

Kohta päivitetty 14.5.2019

Kernel

Kiitos avusta: Denis Kopyrin.

Kohta päivitetty 14.5.2019

PackageKit

Kiitos avusta: Csaba Fitzl (@theevilbit).

Safari

Kiitos avusta: Michael Ball, Gradescope (Turnitin).

Järjestelmäasetukset

Haluamme kiittää nimetöntä tutkijaa hänen avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: