Tietoja macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tässä dokumentissa kerrotaan macOS Mojave 10.14.5:n, suojauspäivitys 2019-003 High Sierran ja suojauspäivitys 2019-003 Sierran turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Mojave 10.14.5, suojauspäivitys 2019-003 High Sierra, suojauspäivitys 2019-003 Sierra

Julkaistu 13.5.2019

Käyttöaputoimintojen sovelluskehys

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8603: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

AMD

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8635: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Ohjelmapalomuuri

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8590: Ison-Britannian National Cyber Security Centre (NCSC)

Arkistotyökalu

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2019-8640: Ash Fox (Fitbit Product Security)

Kohta lisätty 1.8.2019

CoreAudio

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.

CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kohta päivitetty 1.8.2019

CoreAudio

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreText

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8582: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kohta lisätty 25.7.2019

DesktopServices

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallinen ohjelma saattoi ohittaa Gatekeeper-tarkistukset.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2019-8589: Andreas Clementi, Stefan Haselwanter ja Peter Stelzhammer (AV-Comparatives)

Levytiedostot

Saatavuus: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

Kohta päivitetty 14.5.2019

EFI

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Käyttäjä voi olla odottamatta kirjautuneena toisen käyttäjän tilille

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2019-8634: Jenny Sprenger ja Maik Hoepfel

Intelin grafiikkaohjain

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8616: Lilang Wu ja Moony Li (Trend Micro Mobile Security Research Team) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Intelin grafiikkaohjain

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin alustusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8629: Arash Tohidi (Solita Oy)

IOAcceleratorFamily

Saatavuus: macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4456: Cisco Talosin Tyler Bohan

IOKit

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä lataamaan allekirjoittamattomia kernel-laajennuksia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8606: Phoenhex ja qwerty (@_niklasb, @qwertyoruiopz, @bkth_) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kernel

Saatavuus: macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8633: Zhuo Liang (Qihoo 360 Vulcan Team)

Kohta lisätty 25.7.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-8525: Zhuo Liang ja shrek_wzw (Qihoo 360 Nirvan Team)

Kohta lisätty 14.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.

Kuvaus: Rajojen ulkopuolisen lukemisen ongelma saattoi johtaa kernel-muistin paljastumiseen. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2019-8547: derrek (@derrekr6)

Kohta lisätty 14.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2019-8605: Ned Williamson yhteistyössä Google Project Zeron kanssa

Kernel

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kohta päivitetty 30.5.2019

Kernel

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa

Viestit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän palveluneston.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8573: Natalie Silvanovich (Google Project Zero)

Kohta lisätty 3.7.2019

Viestit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: iMessage-keskusteluista poistetut henkilöt saattoivat edelleen pystyä muuttamaan tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8631: Jamie Bishop (Dynastic)

Kohta lisätty 1.8.2019

Microcode

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ennakoivaa suoritusta hyödyntävät latausportit, täyttöpuskurit ja tallennuspuskurit voivat mikroprosessoreilla varustetuissa järjestelmissä sallia tietojen mahdollisen paljastumisen sivukanavan kautta hyökkääjälle, jolla on paikalliset käyttöoikeudet.

Kuvaus: Useita tietojen paljastumiseen liittyviä ongelmia saatiin osittain korjattua päivittämällä mikrokoodi ja muuttamalla käyttöjärjestelmän ajoitustoimintoa siten, että se eristää järjestelmän selaimessa suoritettavasta verkkosisällöstä. Näiden ongelmien ratkaisemiseksi käytettävissä on muita valinnaisia ongelmien lievennystapoja, joilla voidaan poistaa käytöstä hypersäietekniikka ja ottaa oletusarvoisesti käyttöön mikrokoodipohjaisia ratkaisuja kaikille prosesseille. Lievennystapojen tietoja on osoitteessa https://support.apple.com/fi-fi/HT210107.

CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin (University of Michigan); ja Yuval Yarom (University of Adelaide)

CVE-2018-12127: Brandon Falk (Microsoft Windows Platform Security Team); ja Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel)

CVE-2018-12130: Giorgi Maisuradze (Microsoft Research); Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology); Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos ja Cristiano Giuffrida (VUSec group, VU Amsterdam); Volodymyr Pikhur; ja Dan Horea Lutas (BitDefender)

CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu ja Rodrigo Branco (Intel); ja Moritz Lipp, Michael Schwarz ja Daniel Gruss (Graz University of Technology)

Kohta lisätty 14.5.2019

Suojaus

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8604: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

StreamingZip

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)

Touch Bar -tuki

Saatavuus: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8569: Viktor Oreshkin (@stek29)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)

CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

CVE-2019-8611: Samuel Groß (Google Project Zero)

CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

WebKit

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

Wi-Fi

Saatavuus: macOS Mojave 10.14.4

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kohta lisätty 14.5.2019

Kiitokset

CoreAudio

Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.

Kohta lisätty 25.7.2019

CoreFoundation

Haluamme kiittää m4bln:ää, Xiangqian Zhangia, Huiming Liuta (Tencent Xuanwu Lab), Vozzieta ja Ramia heidän avustaan.

Kohta päivitetty 14.5.2019

Kernel

Haluamme kiittää Denis Kopyriniä hänen avustaan.

Kohta päivitetty 14.5.2019

PackageKit

Haluamme kiittää Csaba Fitzliä (@theevilbit) hänen avustaan.

Safari

Haluamme kiittää Michael Ballia (Gradescope, Turnitin) hänen avustaan.

Järjestelmäasetukset

Haluamme kiittää nimetöntä tutkijaa hänen avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: