Tietoja macOS Catalina 10.15.2:n turvallisuussisällöstä, suojauspäivityksestä 2019-002 Mojave ja suojauspäivityksestä 2019-007 High Sierra

Tässä asiakirjassa kerrotaan macOS Catalina 10.15.2:n turvallisuussisällöstä, suojauspäivityksestä 2019-002 Mojave ja suojauspäivityksestä 2019-007 High Sierra.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

macOS Catalina 10.15.2, suojauspäivitys 2019-002 Mojave ja suojauspäivitys 2019-007 High Sierra

Julkaistu 10.12.2019

ATS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallinen ohjelma saattoi pystyä käyttämään rajoitettuja tiedostoja.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8837: Csaba Fitzl (@theevilbit)

Kohta päivitetty 18.12.2019

Bluetooth

Saatavuus: macOS Catalina 10.15

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)

CallKit

Saatavuus: macOS Catalina 10.15

Vaikutus: Sirin avulla soitettavia puheluita saatettiin aloittaa käyttämällä väärää mobiililiittymää laitteissa, joissa on kaksi aktiivista liittymää.

Kuvaus: Sirillä soitettavien puheluiden käsittelyssä oli API-ongelma. Ongelma on ratkaistu parantamalla tilankäsittelyä.

CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)

CFNetwork-välipalvelimet

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)

Kohta päivitetty 18.12.2019

CFNetwork

Saatavuus: macOS Catalina 10.15

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi pystyä ohittamaan HSTS:n rajatussa määrässä tiettyjä ylimmän tason toimialueita, joita ei ole lisätty ennalta ladattuun HSTS-luetteloon.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2019-8834: Rob Sayre (@sayrer)

Kohta lisätty 3.2.2020

CUPS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Tietyissä laitekokoonpanoissa etähyökkääjä saattoi kyetä lähettämään satunnaisia tulostustöitä.

Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.

CVE-2019-8842: Niky1235 (China Mobile)

Kohta päivitetty 18.12.2019

CUPS

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Etuoikeutetussa asemassa ollut hyökkääjä saattoi pystyä toteuttamaan palvelunestohyökkäyksen.

Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.

CVE-2019-8839: Stephan Zeisberg (Security Research Labs)

Kohta päivitetty 18.12.2019

FaceTime

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallisen videon käsittely FaceTimen kautta saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8830: Natalie Silvanovich (Google Project Zero)

Kohta päivitetty 18.12.2019

IOGraphics

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Mac ei joskus lukittunut heti sen herättämisen yhteydessä.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8851: Vladik Khononov (DoiT International)

Kohta lisätty 3.2.2020

Kernel

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8833: Ian Beer (Google Project Zero)

Kohta päivitetty 18.12.2019

Kernel

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8828: Cim Stordal (Cognite)

CVE-2019-8838: Dr. Silvio Cesare (InfoSect)

CVE-2019-8847: Apple

CVE-2019-8852: pattern-f (@pattern_F_, WaCai)

libexpat

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: Haitallisen XML-tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: Ongelma on korjattu päivittämällä expat-versioon 2.2.8.

CVE-2019-15903: Joonun Jang

Kohta päivitetty 18.12.2019

Muistiinpanot

Saatavuus: macOS Catalina 10.15

Vaikutus: Etähyökkääjä saattoi pystyä korvaamaan olemassa olevia tiedostoja.

Kuvaus: Hakemistopolkujen käsittelyn jäsennysongelma korjattiin parantamalla polkujen tarkistusta.

CVE-2020-9782: Allison Husain (UC Berkeley)

Kohta lisätty 4.4.2020

OpenLDAP

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: OpenLDAP:ssä esiintyi useita ongelmia.

Kuvaus: Useita ongelmia ratkaistiin päivittämällä OpenLDAP versioon 2.4.28.

CVE-2012-1164

CVE-2012-2668

CVE-2013-4449

CVE-2015-1545

CVE-2019-13057

CVE-2019-13565

Kohta päivitetty 3.2.2020

Suojaus

Saatavuus: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8832: Insu Yun (SSLab, Georgia Tech)

tcpdump

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Vaikutus: tcpdumpissa esiintyi useita ongelmia.

Kuvaus: Useita ongelmia ratkaistiin päivittämällä tcpdump versioon 4.9.3 ja libpcap versioon 1.9.1.

CVE-2017-16808

CVE-2018-10103

CVE-2018-10105

CVE-2018-14461

CVE-2018-14462

CVE-2018-14463

CVE-2018-14464

CVE-2018-14465

CVE-2018-14466

CVE-2018-14467

CVE-2018-14468

CVE-2018-14469

CVE-2018-14470

CVE-2018-14879

CVE-2018-14880

CVE-2018-14881

CVE-2018-14882

CVE-2018-16227

CVE-2018-16228

CVE-2018-16229

CVE-2018-16230

CVE-2018-16300

CVE-2018-16301

CVE-2018-16451

CVE-2018-16452

CVE-2019-15166

CVE-2019-15167

Kohta päivitetty 11.2.2020

Wi-Fi

Saatavuus: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Vaikutus: Wi-Fi-verkon kantama-alueella ollut hyökkääjä saattoi vähäisissä määrin pystyä tarkastelemaan verkkoliikennettä.

Kuvaus: Tilasiirtymien käsittelyssä oli logiikkaongelma. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-15126: Milos Cermak (ESET)

Kohta lisätty 27.2.2020

Kiitokset

Tilit

Haluamme kiittää Allison Husainia (UC Berkeley), Kishan Bagariaa (KishanBagaria.com) ja Tom Snellingia (Loughborough University) heidän avustaan.

Kohta päivitetty 4.4.2020

Perustiedot

Haluamme kiittää Natalie Silvanovichia (Google Project Zero) hänen avustaan.

Finder

Haluamme kiittää Csaba Fitzliä (@theevilbit) hänen avustaan.

Kohta lisätty 18.12.2019

Kernel

Haluamme kiittää Daniel Roethlisbergeria (Swisscom CSIRT) hänen avustaan.

Kohta lisätty 18.12.2019

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: