Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.
visionOS 1.1
Julkaistu 7.3.2024
Accessibility
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä jäljittelemään järjestelmäilmoituksia ja käyttöliittymää.
Kuvaus: ongelma on ratkaistu oikeuksien lisätarkistuksilla.
CVE-2024-23262: Guilherme Rambo (Best Buddy Apps, rambo.codes)
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-23257: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2024-23258: Zhenjiang Zhao (pangu team), Qianxin sekä Amir Bazine ja Karsten König (CrowdStrike Counter Adversary Operations)
Kohta päivitetty 31.5.2024
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-23286: Trend Micron Zero Day Initiativen parissa työskentelevä Junsung Lee, Amir Bazine ja Karsten König (CrowdStrike Counter Adversary Operations), Dohyun Lee (@l33d0hyun), Lyutoon ja Mr.R
Kohta päivitetty 31.5.2024
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.
Kuvaus: Kilpailutilanne on ratkaistu lisätarkistuksilla.
CVE-2024-23235
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.
Kuvaus: muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2024-23265: Xinru Chi (Pangu Lab)
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: Hyökkääjä, jolla oli mielivaltaiset kernelin luku- ja kirjoitusoikeudet, saattoi ohittaa kernelin muistisuojaukset. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää.
Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2024-23225
Metal
Saatavuus: Apple Vision Pro
Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.
Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.
CVE-2024-23264: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Persona
Saatavuus: Apple Vision Pro
Vaikutus: valtuuttamaton käyttäjä saattoi pystyä käyttämään suojaamatonta Personaa.
Kuvaus: käyttöoikeusongelma ratkaistiin Personoiden jatkuvan suojauksen varmistamiseksi.
CVE-2024-23295: Patrick Reardon
RTKit
Saatavuus: Apple Vision Pro
Vaikutus: Hyökkääjä, jolla oli mielivaltaiset kernelin luku- ja kirjoitusoikeudet, saattoi ohittaa kernelin muistisuojaukset. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää.
Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.
CVE-2024-23296
Safari
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.
Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.
CVE-2024-23220
UIKit
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä poistumaan eristyksestään.
Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2024-23246: Deutsche Telekom Security GmbH Bundesamt für Sicherheit in der Informationstechnikin sponsoroimana
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: Haitallinen verkkosivusto saattoi vuotaa äänitietoja eri alkuperien kesken.
Kuvaus: ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: Haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon
Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: Haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon
Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber ja Marco Squarcina
Kiitokset
Kernel
Haluamme kiittää avusta Tarek Joumaata (@tjkr0wn) ja Junsung Leetä (이준성).
Model I/O
Haluamme kiittää avusta Junsung Leetä.
Power Management
Haluamme kiittää avusta Pan ZhenPengiä (@Peterpan0927, STAR Labs SG Pte. Ltd.).
Safari
Haluamme kiittää Abhinav Saraswatia, Matthew C:tä ja Lee Dong Hata (이동하, ZeroPointer Lab) heidän avustaan.
WebKit
Haluamme kiittää Valentino Dalla Vallea, Pedro Bernardoa, Marco Squarcinaa ja Lorenzo Veronesea (TU Wien) heidän avustaan.