À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple. Vous pouvez chiffrer les communications avec Apple à l’aide de la clé PGP du groupe de sécurité produit d’Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.
macOS Mojave 10.14
Publié le 24 septembre 2018
Bluetooth
Disponible pour : iMac (21,5 pouces, fin 2012), iMac (27 pouces, fin 2012), iMac (21,5 pouces, fin 2013), iMac (21,5 pouces, mi-2014), iMac (Retina 5K, 27 pouces, fin 2014), iMac (21,5 pouces, fin 2015), Mac mini (mi-2011), Mac mini Server (mi-2011), Mac mini (fin 2012), Mac mini Server (fin 2012), Mac mini (fin 2014), Mac Pro (fin 2013), MacBook Air (11 pouces, mi-2011), MacBook Air (13 pouces, mi-2011), MacBook Air (11 pouces, mi-2012), MacBook Air (13 pouces, mi-2012), MacBook Air (11 pouces, mi-2013), MacBook Air (13 pouces, mi-2013), MacBook Air (11 pouces, début 2015), MacBook Air (13 pouces, début 2015), MacBook Pro (13 pouces, mi-2012), MacBook Pro (15 pouces, mi-2012), MacBook Pro (Retina, 13 pouces, début 2013), MacBook Pro (Retina, 15 pouces, début 2013), MacBook Pro (Retina, 13 pouces, fin 2013) et MacBook Pro (Retina, 15 pouces, fin 2013)
Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut intercepter le trafic du réseau Bluetooth.
Description : le Bluetooth présentait un problème de validation des entrées. Ce problème a été résolu grâce à une meilleure validation des entrées.
CVE-2018-5383 : Lior Neumann et Eli Biham
Les mises à jour ci-dessous sont disponibles pour les modèles de Mac suivants : MacBook (début 2015 et modèles ultérieurs), MacBook Air (mi-2012 et modèles ultérieurs), MacBook Pro (mi-2012 et modèles ultérieurs), Mac mini (fin 2012 et modèles ultérieurs), iMac (fin 2012 et modèles ultérieurs), iMac Pro (tous les modèles), Mac Pro (modèles de fin 2013, mi-2010 et mi-2012 dotés d’un processeur graphique recommandé compatible avec Metal, tel que MSI Gaming Radeon RX 560 ou Sapphire Radeon Pulse RX 580)
afpserver
Impact : un attaquant distant peut attaquer des serveurs AFP via des clients HTTP.
Description : un problème de validation des entrées a été résolu grâce à une meilleure validation des entrées.
CVE-2018-4295 : Jianjun Chen (@whucjj) de l’université Tsinghua et UC Berkeley
Entrée ajoutée le 30 octobre 2018
App Store
Conséquence : une application malveillante peut être en mesure de déterminer l’identifiant Apple du propriétaire de l’ordinateur.
Description : un problème d’autorisations existait au niveau de la gestion de l’identifiant Apple. Ce problème a été résolu par une amélioration des contrôles d’accès.
CVE-2018-4324 : Sergii Kryvoblotskyi de MacPaw Inc.
AppleGraphicsControl
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.
CVE-2018-4417 : Lee de l’Information Security Lab, Université de Yonsei, en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 30 octobre 2018
Coupe-feu applicatif
Conséquence : un processus sandboxé peut contourner les restrictions sandbox.
Description : un problème de configuration a été résolu par des restrictions supplémentaires.
CVE-2018-4353 : Abhinav Bansal de LinkedIn Inc.
Entrée mise à jour le 30 octobre 2018
APR
Conséquence : différents problèmes de dépassement de la mémoire tampon existaient dans Perl
Description : différents problèmes dans Perl ont été résolus par une meilleure gestion de la mémoire.
CVE-2017-12613 : Craig Young de Tripwire VERT
CVE-2017-12618 : Craig Young de Tripwire VERT
Entrée ajoutée le 30 octobre 2018
ATS
Conséquence : une application malveillante peut permettre l’augmentation des privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4411 : Lilang Wu Moony Li de Trend Micro en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 30 octobre 2018
ATS
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2018-4308 : Mohamed Ghannam (@_simo36)
Entrée ajoutée le 30 octobre 2018
Déverrouillage automatique
Conséquence : une application malveillante peut être en mesure d’accéder aux identifiants Apple d’utilisateurs locaux.
Description : un problème de validation se produisait au cours de la vérification des droits. Ce problème a été résolu par une meilleure validation des droits.
CVE-2018-4321 : Min (Spark) Zheng et Xiaolong Bai d’Alibaba Inc.
CFNetwork
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4126 : Bruno Keith (@bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 30 octobre 2018
CoreFoundation
Conséquence : une application malveillante peut permettre l’augmentation des privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4412 : centre national de cybersécurité du Royaume-Uni (NCSC)
Entrée ajoutée le 30 octobre 2018
CoreFoundation
Conséquence : il est possible qu’une application profite de privilèges élevés.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4414 : centre national de cybersécurité du Royaume-Uni (NCSC)
Entrée ajoutée le 30 octobre 2018
CoreText
Conséquence : le traitement d’un fichier texte malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2018-4347 : Vasyl Tkachuk de Readdle
Entrée ajoutée le 30 octobre 2018 et mise à jour le 13 décembre 2018
Crash Reporter
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.
CVE-2018-4333 : Brandon Azad
CUPS
Conséquence : dans certaines configurations, un attaquant distant peut être en mesure de remplacer le contenu d’un message du serveur d’impression par du contenu arbitraire.
Description : un problème d’injection a été résolu par une meilleure validation.
CVE-2018-4153 : Michael Hanselmann de hansmi.ch
Entrée ajoutée le 30 octobre 2018
CUPS
Conséquence : un attaquant bénéficiant d’une position privilégiée peut provoquer un déni de service.
Description : un problème de déni de service a été résolu par une meilleure validation.
CVE-2018-4406 : Michael Hanselmann de hansmi.ch
Entrée ajoutée le 30 octobre 2018
Dictionnaire
Conséquence : l’analyse d’un fichier de dictionnaire malveillant peut mener à la divulgation des informations utilisateur.
Description : un problème de validation permettait l’accès aux fichiers locaux. Ce problème a été résolu par un nettoyage des entrées.
CVE-2018-4346 : Wojciech Reguła (@_r3ggi) de SecuRing
Entrée ajoutée le 30 octobre 2018
DiskArbitration
Conséquence : une application malveillante peut être en mesure de modifier le contenu de la partition système EFI et d’exécuter du code arbitraire avec des privilèges liés au noyau si le démarrage sécurisé n’est pas activé.
Description : un problème d’autorisations existait dans DiskArbitration. Ce problème a été résolu par l’ajout de vérifications de propriété.
CVE-2018-4296 : Vitaly Cheptsov
Entrée mise à jour le 22 janvier 2019
dyld
Conséquence : une application malveillante peut être en mesure de modifier des sections protégées du système de fichiers.
Description : un problème de configuration a été résolu par des restrictions supplémentaires.
CVE-2018-4433 : Vitaly Cheptsov
Entrée mise à jour le 22 janvier 2019
fdesetup
Conséquence : les clés de récupération institutionnelles peuvent être incorrectement déclarées comme étant présentes.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2019-8643 : Arun Sharma de VMWare
Entrée ajoutée le 1er août 2019
Programme interne
Conséquence : un attaquant bénéficiant d’un accès physique à un appareil peut être en mesure d’augmenter les privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2017-5731 : Intel et Eclypsium
CVE-2017-5732 : Intel et Eclypsium
CVE-2017-5733 : Intel et Eclypsium
CVE-2017-5734 : Intel et Eclypsium
CVE-2017-5735 : Intel et Eclypsium
Entrée ajoutée le 24 juin 2019
Grand Central Dispatch
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4426 : Brandon Azad
Entrée ajoutée le 30 octobre 2018
Heimdal
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4331 : Brandon Azad
CVE-2018-4332 : Brandon Azad
CVE-2018-4343 : Brandon Azad
Entrée ajoutée le 30 octobre 2018
Hyperviseur
Conséquence : les systèmes dotés de microprocesseurs utilisant l’exécution spéculative et les traductions d’adresses sont susceptibles de permettre la divulgation non autorisée d’informations stockées dans le cache de données L1 à un attaquant disposant d’un accès utilisateur local avec privilège d’invité OS via une erreur de page terminal et une analyse par canal auxiliaire.
Description : un problème de divulgation d’informations a été résolu par la réinitialisation du cache de données L1 à l’entrée de la machine virtuelle.
CVE-2018-3646 : Baris Kasikci, Daniel Genkin, Ofir Weisse et Thomas F. Wenisch de l’Université du Michigan, Mark Silberstein et Marina Minkin de Technion, Raoul Strackx, Jo Van Bulck et Frank Piessens de la KU Leuven, Rodrigo Branco, Henrique Kawakami, Ke Sun et Kekai Hu d’Intel Corporation, Yuval Yarom de l’Université d’Adelaide
Entrée ajoutée le 30 octobre 2018
iBooks
Conséquence : l’analyse d’un fichier iBooks malveillant peut mener à la divulgation des informations utilisateur.
Description : un problème de configuration a été résolu par des restrictions supplémentaires.
CVE-2018-4355 : evi1m0 de la Bilibili Security Team
Entrée ajoutée le 30 octobre 2018
Gestionnaire Intel Graphics
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.
CVE-2018-4396 : Yu Wang de Didi Research America
CVE-2018-4418 : Yu Wang de Didi Research America
Entrée ajoutée le 30 octobre 2018
Gestionnaire Intel Graphics
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème d’initialisation de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4351 : Appology Team de Theori en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 30 octobre 2018
Gestionnaire Intel Graphics
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4350 : Yu Wang de Didi Research America
Entrée ajoutée le 30 octobre 2018
Gestionnaire Intel Graphics
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4334 : Ian Beer de Google Project Zero
Entrée ajoutée le 30 octobre 2018
Gestionnaire Intel Graphics
Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4451 : Tyler Bohan de Cisco Talos
CVE-2018-4456 : Tyler Bohan de Cisco Talos
Entrée ajoutée le 21 décembre 2018, mise à jour le 22 janvier 2019
IOHIDFamily
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4408 : Ian Beer de Google Project Zero
Entrée ajoutée le 30 octobre 2018, mise à jour le 1er août 2019
IOKit
Conséquence : une application malveillante peut être en mesure de sortir de sa sandbox.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4341 : Ian Beer de Google Project Zero
CVE-2018-4354 : Ian Beer de Google Project Zero
Entrée ajoutée le 30 octobre 2018
IOKit
Conséquence : une application peut exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2018-4383 : Apple
Entrée ajoutée le 30 octobre 2018
IOUserEthernet
Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4401 : Apple
Entrée ajoutée le 30 octobre 2018
Noyau
Conséquence : une application malveillante peut divulguer des données sensibles.
Description : des appels d’API privilégiés présentaient un problème d’accès. Ce problème a été résolu par des restrictions supplémentaires.
CVE-2018-4399 : Fabiano Anemone (@anoane)
Entrée ajoutée le 30 octobre 2018
Noyau
Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut provoquer l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation.
CVE-2018-4407 : Kevin Backhouse de Semmle Ltd.
Entrée ajoutée le 30 octobre 2018
Noyau
Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4336 : Brandon Azad
CVE-2018-4337 : Ian Beer de Google Project Zero
CVE-2018-4340 : Mohamed Ghannam (@_simo36)
CVE-2018-4344 : centre national de cybersécurité du Royaume-Uni (NCSC)
CVE-2018-4425 : cc en collaboration avec le programme Zero Day Initiative de Trend Micro, Juwei Lin (@panicaII) de Trend Micro en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée mise à jour le 30 octobre 2018
LibreSSL
Conséquence : plusieurs problèmes avec libressl ont été résolus dans cette mise à jour.
Description : plusieurs problèmes ont été résolus par la mise à jour vers la version 2.6.4 de libressl.
CVE-2015-3194
CVE-2015-5333
CVE-2015-5334
CVE-2016-0702
Entrée ajoutée le 30 octobre 2018 et mise à jour le 13 décembre 2018
Fenêtre d’ouverture de session
Conséquence : un utilisateur local peut être à l’origine d’un déni de service.
Description : un problème de validation a été résolu par une meilleure logique.
CVE-2018-4348 : Ken Gannon et Christian Demko de MWR InfoSecurity
Entrée ajoutée le 30 octobre 2018
mDNSOffloadUserClient
Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4326 : un chercheur anonyme en collaboration avec le programme Zero Day Initiative de Trend Micro, Zhuo Liang de la Qihoo 360 Nirvan Team
Entrée ajoutée le 30 octobre 2018
MediaRemote
Conséquence : un processus sandboxé peut contourner les restrictions sandbox.
Description : un problème d’accès a été résolu par des restrictions supplémentaires de la sandbox.
CVE-2018-4310 : CodeColorist du Ant-financial Light-Year Security Lab
Entrée ajoutée le 30 octobre 2018
Microcode
Conséquence : les systèmes dotés de microprocesseurs utilisant l’exécution spéculative et l’exécution spéculative de lectures mémoires avant que les adresses de toutes les écritures de mémoire soient connues sont susceptibles de permettre la divulgation d’informations non autorisées à un attaquant disposant d’un accès utilisateur local via une analyse par canal auxiliaire.
Description : un problème de divulgation d’informations a été résolu par une mise à jour du microcode. Les lectures de données plus anciennes issues d’adresses utilisées récemment pour l’écriture ne peuvent plus être lues via un canal auxiliaire d’exécution spéculative.
CVE-2018-3639 : Jann Horn (@tehjh) de Google Project Zero (GPZ), Ken Johnson du Microsoft Security Response Center (MSRC)
Entrée ajoutée le 30 octobre 2018
Sécurité
Conséquence : un utilisateur local peut être à l’origine d’un déni de service.
Description : ce problème a été résolu par l’application de meilleures vérifications.
CVE-2018-4395 : Patrick Wardle de Digita Security
Entrée ajoutée le 30 octobre 2018
Sécurité
Conséquence : un attaquant peut exploiter les faiblesses de l’algorithme de chiffrement RC4.
Description : ce problème a été résolu par la suppression de l’algorithme de chiffrement RC4.
CVE-2016-1777 : Pepi Zawodsky
Spotlight
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4393 : Lufeng Li
Entrée ajoutée le 30 octobre 2018
Symptom Framework
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2018-4203 : Bruno Keith (@bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 30 octobre 2018
Texte
Conséquence : le traitement d’un fichier texte malveillant peut conduire à un déni de service.
Description : un problème de déni de service a été résolu par une meilleure validation.
CVE-2018-4304 : jianan.huang (@Sevck)
Entrée ajoutée le 30 octobre 2018
Wi-Fi
Conséquence : une application peut être en mesure de lire la mémoire restreinte.
Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.
CVE-2018-4338 : Lee @ SECLAB, université de Yonsei en collaboration avec le programme Zero Day Initiative de Trend Micro
Entrée ajoutée le 23 octobre 2018
Remerciements supplémentaires
Infrastructure d’accessibilité
Nous tenons à remercier Ryan Govostes pour son aide.
Core Data
Nous tenons à remercier Andreas Kurtz (@aykay) de NESO Security Labs GmbH pour son aide.
CoreDAV
Nous tenons à remercier Matthew Thomas de Verisign pour son aide.
Entrée ajoutée le 13 décembre 2018 et mise à jour le 21 décembre 2018
CoreGraphics
Nous tenons à remercier Nitin Arya de Roblox Corporation pour son aide.
CoreSymbolication
Nous tenons à remercier Brandon Azad pour son aide.
Entrée ajoutée le 13 décembre 2018
CUPS
Nous tenons à remercier Michael Hanselmann de hansmi.ch pour son aide.
Entrée ajoutée le 1er août 2019
IOUSBHostFamily
Nous tenons à remercier Dragos Ruiu de CanSecWest pour son aide.
Entrée ajoutée le 13 décembre 2018
Noyau
Nous tenons à remercier Brandon Azad pour son aide.
Entrée ajoutée le 13 décembre 2018
Nous tenons à remercier Alessandro Avagliano de Rocket Internet SE, John Whitehead du New York Times, Kelvin Delbarre d’Omicron Software Systems et Zbyszek Żółkiewski pour leur aide.
Coup d’œil
Nous tenons à remercier lokihardt de Google Project Zero, Wojciech Reguła (@_r3ggi) de SecuRing et Patrick Wardle de Digita Security pour leur aide.
Entrée ajoutée le 13 décembre 2018
Sécurité
Nous tenons à remercier Christoph Sinai, Daniel Dudek (@dannysapples) de l’Irish Times et Filip Klubička (@lemoncloak) d’ADAPT Centre, Dublin Institute of Technology, Horatiu Graur de SoftVision, Istvan Csanady de Shapr3D, Omar Barkawi d’ITG Software, Inc., Phil Caleno, Wilson Ding et un chercheur anonyme pour leur aide.
Entrée mise à jour le 24 juin 2019
SQLite
Nous tenons à remercier Andreas Kurtz (@aykay) de NESO Security Labs GmbH pour son aide.
Terminal
Nous tenons à remercier Federico Bento pour son aide.
Entrée ajoutée le 13 décembre 2018 et mise à jour le 3 février 2020
Time Machine
Nous tenons à remercier Matthew Thomas de Verisign pour son aide.
Entrée mise à jour le 22 janvier 2019
WindowServer
Nous tenons à remercier Patrick Wardle de Digita Security pour son aide.
Entrée ajoutée le 13 décembre 2018