À propos des correctifs de sécurité de macOS Mojave 10.14.5, de la mise à jour de sécurité 2019-003 pour High Sierra et de la mise à jour de sécurité 2019-003 pour Sierra

Ce document décrit les correctifs de sécurité de macOS Mojave 10.14.5, de la mise à jour de sécurité 2019-003 pour High Sierra et de la mise à jour de sécurité 2019-003 pour Sierra.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées à la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

macOS Mojave 10.14.5, mise à jour de sécurité 2019-003 pour High Sierra, mise à jour de sécurité 2019-003 pour Sierra

Infrastructure d’accessibilité

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure de lire la mémoire restreinte.

Description : Un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8603 : Phoenhex et qwerty (@_niklasb, @qwertyoruiopz, @bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro

AMD

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8635 : Lilang Wu et Moony Li de la Mobile Security Research Team de TrendMicro en collaboration avec le programme Zero Day Initiative de Trend Micro

Coupe-feu applicatif

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : Un problème de logique a été résolu par de meilleures restrictions.

CVE-2019-8590 : centre national de cybersécurité du Royaume-Uni (NCSC)

Utilitaire d’archivage

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un processus en mode bac à sable peut être en mesure de contourner les restrictions de bac à sable.

Description : Un problème de logique a été résolu par une meilleure validation.

CVE-2019-8640 : Ash Fox de Fitbit Product Security

Bluetooth

Disponible pour : macOS Mojave 10.14.4

Conséquence : En raison d’une mauvaise configuration dans les protocoles de jumelage Bluetooth d’une version Bluetooth Low Energy (BLE) des clés de sécurité FIDO, il peut être possible pour un attaquant se trouvant à proximité d’intercepter le trafic Bluetooth lors du jumelage.

Description : Ce problème a été résolu en désactivant les accessoires avec des connexions Bluetooth non sécurisées. Les clients utilisant la version Bluetooth Low Energy (BLE) de la clé de sécurité Titan de Google devraient consulter les bulletins de juin d’Android et les conseils de Google, puis prendre les mesures qui s’imposent.

CVE-2019-2102 : Matt Beaver et Erik Peterson de Microsoft Corp.

CoreAudio

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : Le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion des erreurs.

CVE-2019-8592 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

CoreAudio

Disponible pour : macOS Mojave 10.14.4

Conséquence : Le traitement d’un fichier de film malveillant peut entraîner l’exécution arbitraire de code.

Description : Un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2019-8585 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

CoreText

Disponible pour : macOS Mojave 10.14.4

Conséquence : Le traitement d’une police malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : Un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2019-8582 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

DesktopServices

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application malveillante peut être en mesure de contourner les vérifications de Gatekeeper.

Description : Ce problème a été résolu par l’application de meilleures vérifications.

CVE-2019-8589 : Andreas Clementi, Stefan Haselwanter et Peter Stelzhammer d’AV-Comparatives

Images disque

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure de lire la mémoire restreinte.

Description : Un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8560 : Nikita Pupyshev de l’Université technique d’État de Moscou-Bauman

EFI

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un utilisateur peut se connecter de façon inopinée au compte d’un autre utilisateur.

Description : Un problème d’authentification a été résolu grâce à une meilleure gestion des états.

CVE-2019-8634 : Jenny Sprenger et Maik Hoepfel

Gestionnaire Intel Graphics

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8616 : Lilang Wu et Moony Li de la Mobile Security Research Team de Trend Micro en collaboration avec le programme Zero Day Initiative de Trend Micro

Gestionnaire Intel Graphics

Disponible pour : macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème d’initialisation de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8629 : Arash Tohidi de Solita Oy

IOAcceleratorFamily

Disponible pour : macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2018-4456 : Tyler Bohan de Cisco Talos

IOKit

Disponible pour : macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Un utilisateur local peut être en mesure de charger des extensions de noyau non signées.

Description : Le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2019-8606 : Phoenhex et qwerty (@_niklasb, @qwertyoruiopz, @bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro

Noyau

Disponible pour : macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure de lire la mémoire restreinte.

Description : Un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8633 : Zhuo Liang de la Qihoo 360 Vulcan Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2019-8525 : Zhuo Liang et shrek_wzw de la Qihoo 360 Nirvan Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : Un attaquant distant peut être en mesure de divulguer le contenu de la mémoire.

Description : Un problème de lecture hors limites entraînait la divulgation de la mémoire du noyau. Ce problème a été résolu grâce à une meilleure validation des entrées.

CVE-2019-8547 : derrek (@derrekr6)

Noyau

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un utilisateur local peut être en mesure d’entraîner l’arrêt inopiné du système ou la lecture du contenu de la mémoire du noyau.

Description : Un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2019-8576 : Brandon Azad de Google Project Zero, Junho Jang et Hanul Choi de la LINE Security Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’entraîner l’arrêt inopiné du système ou l’écriture de contenu dans la mémoire du noyau.

Description : Un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.

CVE-2019-8591 : Ned Williamson en collaboration avec le programme Google Project Zero

Messages

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un attaquant distant peut être à l’origine d’un déni de service du système.

Description : Un problème de validation des entrées a été résolu grâce à une meilleure validation des entrées.

CVE-2019-8573 : natashenka de Google Project Zero

Messages

Disponible pour : macOS Mojave 10.14.4

Conséquence : Les utilisateurs supprimés d’une conversation iMessage peuvent encore être en mesure de modifier leur état.

Description : Un problème de logique a été résolu par une meilleure gestion des états.

CVE-2019-8631 : Jamie Bishop de Dynastic

Microcode

Disponible pour : macOS Mojave 10.14.4

Conséquence : Les ports de chargement, les mémoires tampon de remplissage et les mémoires tampon de stockage dans les systèmes dotés de microprocesseurs utilisant l’exécution spéculative peuvent permettre à un attaquant ayant un accès utilisateur local d’activer potentiellement la divulgation d’information par un canal auxiliaire.

Description : Plusieurs problèmes de divulgation d’information ont été réglés partiellement par la mise à jour du microcode et la modification du planificateur du SE afin d’isoler le système du contenu Web exécuté dans le navigateur. Pour régler complètement ces problèmes, d’autres mesures correctives optionnelles peuvent désactiver le traitement hyperfilière et activer les mesures correctives basées sur un microcode pour tous les processus par défaut. Les détails des mesures correctives se trouvent à la page https://support.apple.com/fr-ca/HT210107.

CVE-2018-12126 : Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel, Lei Shi de Qihoo 360 CERT, Marina Minkin, Daniel Genkin de l’Université du Michigan, et Yuval Yarom de l’Université d’Adelaïde

CVE-2018-12127 : Brandon Falk de l’équipe de sécurité de la plateforme Microsoft Windows, et Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel

CVE-2018-12130 : Giorgi Maisuradze de Microsoft Research, Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel, Moritz Lipp, Michael Schwarz et Daniel Gruss de l’Université technique de Graz, Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos et Cristiano Giuffrida du groupe VUSec à VU Amsterdam, Volodymyr Pikhur, et Dan Horea Lutas de BitDefender

CVE-2019-11091 : Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel, et Moritz Lipp, Michael Schwarz et Daniel Gruss de l’Université technique de Graz

Sécurité

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8604 : Fluoroacetate en collaboration avec le programme Zero Day Initiative de Trend Micro

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application peut être en mesure d’accéder à des privilèges élevés.

Description : Un problème de validation des entrées a été résolu par une meilleure gestion de la mémoire.

CVE-2019-8577 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une requête SQL malveillante peut entraîner l’exécution arbitraire de code.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2019-8600 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application malveillante peut être en mesure de lire la mémoire restreinte.

Description : Un problème de validation des entrées a été résolu grâce à une meilleure validation des entrées.

CVE-2019-8598 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : Une application malveillante peut permettre l’augmentation des privilèges.

Description : Un problème de corruption de la mémoire a été résolu en supprimant le code vulnérable.

CVE-2019-8602 : Omer Gull de Checkpoint Research

StreamingZip

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un utilisateur local peut apporter des modifications à des sections protégées du système de fichiers.

Description : Le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2019-8568 : Dany Lisiansky (@DanyL931)

sysdiagnose

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Le problème a été résolu par une meilleure logique des autorisations.

CVE-2019-8574 : Dayton Pidhirney (@_watbulb) de Seekintoo (@seekintoo)

Prise en charge de la Touch Bar

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : Une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : Un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8569 : Viktor Oreshkin (@stek29)

WebKit

Disponible pour : macOS Mojave 10.14.4

Conséquence : Le traitement d’un contenu Web malveillant peut entraîner l’exécution arbitraire de code.

Description : Plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de cette dernière.

CVE-2019-6237 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro, Liu Long de la Qihoo 360 Vulcan Team

CVE-2019-8571 : 01 en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8583 : sakura du Tencent Xuanwu Lab, jessica (@babyjess1ca_) du Tencent Keen Lab et dwfault travaillant à l’ADLab de Venustech

CVE-2019-8584 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8586 : un chercheur anonyme

CVE-2019-8587 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8594 : Suyoung Lee et Sooel Son du KAIST Web Security & Privacy Lab et HyungSeok Han et Sang Kil Cha du KAIST Softsec Lab

CVE-2019-8595 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8596 : Wen Xu du SSLab de Georgia Tech

CVE-2019-8597 : 01 en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8601 : Fluoroacetate en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8608 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8609 : Wen Xu du SSLab de Georgia Tech

CVE-2019-8610 : un chercheur anonyme travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8611 : Samuel Groß de Google Project Zero

CVE-2019-8615 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8619 : Wen Xu du SSLab de Georgia Tech et Hanqing Zhao du Chaitin Security Research Lab

CVE-2019-8622 : Samuel Groß de Google Project Zero

CVE-2019-8623 : Samuel Groß de Google Project Zero

CVE-2019-8628 : Wen Xu du SSLab de Georgia Tech et Hanqing Zhao du Chaitin Security Research Lab

WebKit

Disponible pour : macOS Mojave 10.14.4

Conséquence : Le traitement d’un contenu Web malveillant peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : Un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2019-8607 : Junho Jang et Hanul Choi de la LINE Security Team

Wi-Fi

Disponible pour : macOS Mojave 10.14.4

Conséquence : Un attaquant disposant d’une position privilégiée sur le réseau peut modifier l’état du pilote.

Description : Un problème de logique a été résolu par une meilleure gestion des états.

CVE-2019-8612 : Milan Stute de Secure Mobile Networking Lab de l’Université Technique de Darmstadt

Remerciements supplémentaires

CoreAudio

Nous tenons à remercier riusksk de VulWar Corp, travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro, pour son aide.

CoreFoundation

Nous tenons à remercier m4bln, Xiangqian Zhang, Huiming Liu du Xuanwu Lab de Tencent, Vozzie et Rami pour leur aide.

Noyau

Nous tenons à remercier Denis Kopyrin pour son aide.

PackageKit

Nous tenons à remercier Csaba Fitzl (@theevilbit) pour son aide.

Safari

Nous tenons à remercier Michael Ball de Gradescope by Turnitin pour son aide.

Préférences Système

Nous tenons à remercier un chercheur anonyme pour son aide.