Tietoja macOS Catalina 10.15.2:n turvallisuussisällöstä, suojauspäivityksestä 2019-002 Mojave ja suojauspäivityksestä 2019-007 High Sierra

Tässä asiakirjassa kerrotaan macOS Catalina 10.15.2:n turvallisuussisällöstä, suojauspäivityksestä 2019-002 Mojave ja suojauspäivityksestä 2019-007 High Sierra.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Catalina 10.15.2, suojauspäivitys 2019-002 Mojave ja suojauspäivitys 2019-007 High Sierra

ATS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallinen ohjelma saattoi pystyä käyttämään rajoitettuja tiedostoja.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8837: Csaba Fitzl (@theevilbit)

Bluetooth

Saatavuus: macOS Catalina 10.15

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)

CallKit

Saatavuus: macOS Catalina 10.15

Vaikutus: Sirin avulla soitettavia puheluita saatettiin aloittaa käyttämällä väärää mobiililiittymää laitteissa, joissa on kaksi aktiivista liittymää.

Kuvaus: Sirillä soitettavien puheluiden käsittelyssä oli API-ongelma. Ongelma on ratkaistu parantamalla tilankäsittelyä.

CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)

CFNetwork-välipalvelimet

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)

CFNetwork

Saatavuus: macOS Catalina 10.15

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi pystyä ohittamaan HSTS:n rajatussa määrässä tiettyjä ylimmän tason toimialueita, joita ei ole lisätty ennalta ladattuun HSTS-luetteloon.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2019-8834: Rob Sayre (@sayrer)

CUPS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Tietyissä laitekokoonpanoissa etähyökkääjä saattoi kyetä lähettämään satunnaisia tulostustöitä.

Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.

CVE-2019-8842: Niky1235 (China Mobile)

CUPS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Etuoikeutetussa asemassa ollut hyökkääjä saattoi pystyä toteuttamaan palvelunestohyökkäyksen.

Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.

CVE-2019-8839: Stephan Zeisberg (Security Research Labs)

FaceTime

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallisen videon käsittely FaceTimen kautta saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8830: natashenka (Google Project Zero)

IOGraphics

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Mac ei joskus lukittunut heti sen herättämisen yhteydessä.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8851: Vladik Khononov (DoiT International)

Kernel

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8833: Ian Beer (Google Project Zero)

Kernel

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8828: Cim Stordal (Cognite)

CVE-2019-8838: Dr. Silvio Cesare (InfoSect)

CVE-2019-8847: Apple

CVE-2019-8852: pattern-f (@pattern_F_, WaCai)

libexpat

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallisen XML-tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: Ongelma on korjattu päivittämällä expat-versioon 2.2.8.

CVE-2019-15903: Joonun Jang

Muistiinpanot

Saatavuus: macOS Catalina 10.15

Vaikutus: Etähyökkääjä saattoi pystyä korvaamaan olemassa olevia tiedostoja.

Kuvaus: Hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2020-9782: Allison Husain (UC Berkeley)

OpenLDAP

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: OpenLDAP:ssä esiintyi useita ongelmia.

Kuvaus: Useita ongelmia ratkaistiin päivittämällä OpenLDAP versioon 2.4.28.

CVE-2012-1164

CVE-2012-2668

CVE-2013-4449

CVE-2015-1545

CVE-2019-13057

CVE-2019-13565

Suojaus

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8832: Insu Yun (SSLab, Georgia Tech)

tcpdump

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: tcpdumpissa esiintyi useita ongelmia.

Kuvaus: Useita ongelmia ratkaistiin päivittämällä tcpdump versioon 4.9.3 ja libpcap versioon 1.9.1.

CVE-2017-16808

CVE-2018-10103

CVE-2018-10105

CVE-2018-14461

CVE-2018-14462

CVE-2018-14463

CVE-2018-14464

CVE-2018-14465

CVE-2018-14466

CVE-2018-14467

CVE-2018-14468

CVE-2018-14469

CVE-2018-14470

CVE-2018-14879

CVE-2018-14880

CVE-2018-14881

CVE-2018-14882

CVE-2018-16227

CVE-2018-16228

CVE-2018-16229

CVE-2018-16230

CVE-2018-16300

CVE-2018-16301

CVE-2018-16451

CVE-2018-16452

CVE-2019-15166

CVE-2019-15167

Wi-Fi

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Vaikutus: Wi-Fi-verkon kantama-alueella ollut hyökkääjä saattoi vähäisissä määrin pystyä tarkastelemaan verkkoliikennettä.

Kuvaus: Tilasiirtymien käsittelyssä oli logiikkaongelma. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-15126: Milos Cermak (ESET)

Kiitokset

Tilit

Haluamme kiittää Allison Husainia (UC Berkeley), Kishan Bagariaa (KishanBagaria.com) ja Tom Snellingia (Loughborough University) heidän avustaan.

Perustiedot

Haluamme kiittää natashenkaa (Google Project Zero) hänen avustaan.

Finder

Haluamme kiittää Csaba Fitzliä (@theevilbit) hänen avustaan.

Kernel

Haluamme kiittää Daniel Roethlisbergeria (Swisscom CSIRT) hänen avustaan.