Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.
visionOS 1.1
Julkaistu 7.3.2024
Accessibility
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä jäljittelemään järjestelmäilmoituksia ja käyttöliittymää.
Kuvaus: ongelma on ratkaistu lisäämällä oikeustarkistuksia.
CVE-2024-23262: Guilherme Rambo (Best Buddy Apps, rambo.codes)
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-23257: Junsung Lee yhteistyössä Trend Micro Zero Day Initiativen kanssa
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2024-23258: Zhenjiang Zhao (pangu team) ja Qianxin
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-23286: Dohyun Lee (@l33d0hyun)
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.
Kuvaus: kilpailutilanne on ratkaistu lisätarkistuksilla.
CVE-2024-23235
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.
Kuvaus: muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2024-23265: Xinru Chi (Pangu Lab)
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: Hyökkääjä, jolla oli mielivaltaiset kernelin luku- ja kirjoitusoikeudet, saattoi pystyä ohittamaan kernel-muistin suojauksen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää.
Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2024-23225
Metal
Saatavuus: Apple Vision Pro
Vaikutus: ohjelma saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2024-23264: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micro Zero Day Initiativen kanssa
Persona
Saatavuus: Apple Vision Pro
Vaikutus: valtuuttamaton käyttäjä saattoi pystyä käyttämään suojaamatonta Personaa.
Kuvaus: käyttöoikeusongelma ratkaistiin Personoiden jatkuvan suojauksen varmistamiseksi.
CVE-2024-23295: Patrick Reardon
RTKit
Saatavuus: Apple Vision Pro
Vaikutus: Hyökkääjä, jolla oli mielivaltaiset kernelin luku- ja kirjoitusoikeudet, saattoi pystyä ohittamaan kernel-muistin suojauksen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää.
Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2024-23296
Safari
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.
Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.
CVE-2024-23220
UIKit
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä poistumaan eristyksestään.
Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2024-23246: Deutsche Telekom Security GmbH, sponsorina Bundesamt für Sicherheit in der Informationstechnik
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallinen verkkosivusto saattoi vuotaa äänitietoja eri alkuperien kesken.
Kuvaus: ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon.
Kuvaus: logiikkaongelma on ratkaistu parantamalla validointia.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon.
Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber ja Marco Squarcina
Kiitokset
Kernel
Haluamme kiittää Tarek Joumaata (@tjkr0wn) Junsung Leetä (이준성) heidän avustaan.
Model I/O
Haluamme kiittää Junsung Leetä hänen avustaan.
Power Management
Haluamme kiittää Pan ZhenPengiä (@Peterpan0927, STAR Labs SG Pte. Ltd.) hänen avustaan.
Safari
Haluamme kiittää Abhinav Saraswatia, Matthew C:tä ja Lee Dong Hata (이동하, ZeroPointer Lab) heidän avustaan.
WebKit
Haluamme kiittää Valentino Dalla Vallea, Pedro Bernardoa, Marco Squarcinaa ja Lorenzo Veronesea (TU Wien) heidän avustaan.