Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.
visionOS 1.2
Julkaistu 10.6.2024
CoreMedia
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27817: pattern-f (@pattern_F_, Ant Security Light-Year Lab)
CoreMedia
Saatavuus: Apple Vision Pro
Vaikutus: tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2024-27831: Amir Bazine ja Karsten König, CrowdStrike Counter Adversary Operations
Disk Images
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27832: nimetön tutkija
Foundation
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27801: CertiK SkyFall Team
ImageIO
Saatavuus: Apple Vision Pro
Vaikutus: haitallisen kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27836: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa
IOSurface
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-27828: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte.) Ltd.)
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: ytimen koodia suorittanut hyökkääjä saattoi pystyä ohittamaan ydinmuistin suojaukset.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2024-27840: nimetön tutkija
Kernel
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2024-27815: nimetön tutkija ja Joseph Ravichandran (@0xjprx), MIT CSAIL
libiconv
Saatavuus: Apple Vision Pro
Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27811: Nick Wellnhofer
Messages
Saatavuus: Apple Vision Pro
Vaikutus: haitallisen sähköpostiviestin käsittely saattoi johtaa palvelunestoon.
Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2024-27800: Daniel Zajork ja Joshua Zajork
Metal
Saatavuus: Apple Vision Pro
Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2024-27802: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micron Zero Day Initiativen kanssa
Metal
Saatavuus: Apple Vision Pro
Vaikutus: etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.
CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)
Safari
Saatavuus: Apple Vision Pro
Vaikutus: sivuston lupa -valintaikkuna saattoi jäädä näkyviin, kun käyttäjä navigoi pois sivustolta.
Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.
CVE-2024-27844: Narendra Bhati (Suma Soft Pvt.) Ltd in Pune (Intia), Shaheen Fazim
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.
Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos, Mozilla
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
WebKit Bugzilla: 268221
CVE-2024-27808: Benjamin Ehrfeld (CISPA Helmholtz Center for Information Security)
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.
Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.
CVE-2024-27812: Ryan Pickren (ryanpickren.com)
Kohta päivitetty 20.6.2024
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.
Ongelma: tämä ongelma on ratkaistu parantamalla melualgoritmia.
WebKit Bugzilla: 270767
CVE-2024-27850: nimetön tutkija
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.
WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp) yhteistyössä Trend Micro Zero Day Initiativen kanssa
WebKit
Saatavuus: Apple Vision Pro
Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13 / 360 Vulnerability Research Institute)
WebKit Canvas
Saatavuus: Apple Vision Pro
Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.
Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387), Crawless, ja @abrahamjuliot
WebKit Web Inspector
Saatavuus: Apple Vision Pro
Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson (underpassapp.com)
Kiitokset
ImageIO
Haluamme kiittää avusta nimetöntä tutkijaa.
Transparency
Haluamme kiittää avusta Mickey Jiniä (@patch1t).