À propos des correctifs de sécurité de macOS Mojave 10.14.5, de la mise à jour de sécurité 2019-003 pour High Sierra et de la mise à jour de sécurité 2019-003 pour Sierra

Ce document décrit les correctifs de sécurité de macOS Mojave 10.14.5, de la mise à jour de sécurité 2019-003 pour High Sierra et de la mise à jour de sécurité 2019-003 pour Sierra.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

macOS Mojave 10.14.5, mise à jour de sécurité 2019-003 pour High Sierra, mise à jour de sécurité 2019-003 pour Sierra

Infrastructure d’accessibilité

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8603 : Phoenhex et qwerty (@_niklasb, @qwertyoruiopz, @bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro

AMD

Disponible pour : macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8635 : Lilang Wu et Moony Li de TrendMicro Mobile Security Team en collaboration avec le programme Zero Day Initiative de Trend Micro

Coupe-feu applicatif

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2019-8590 : centre national de cybersécurité du Royaume-Uni (NCSC)

Utilitaire d’archive

Disponible pour : macOS Mojave 10.14.4

Conséquence : un processus sandboxé peut contourner les restrictions en matière de sandboxing.

Description : un problème de logique a été résolu par une meilleure validation.

CVE-2019-8640 : Ash Fox du service Sécurité des produits de Fitbit

Bluetooth

Disponible pour : macOS Mojave 10.14.4

Conséquence : en raison d’une mauvaise configuration dans les protocoles de jumelage Bluetooth d’une version Bluetooth Low Energy (BLE) des clés de sécurité FIDO, il peut être possible pour un attaquant se trouvant à proximité d’intercepter le trafic Bluetooth lors du jumelage.

Description : ce problème a été résolu par la désactivation des accessoires comportant des connexions Bluetooth non sécurisées. Les clients utilisant la version Bluetooth Low Energy (BLE) de la clé de sécurité Titan de Google doivent consulter les bulletins de juin d’Android et les conseils de Google, et prendre les mesures appropriées.

CVE-2019-2102 : Matt Beaver et Erik Peterson de Microsoft Corp.

CoreAudio

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des erreurs.

CVE-2019-8592 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

CoreAudio

Disponible pour : macOS Mojave 10.14.4

Conséquence : le traitement d’un fichier de film malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2019-8585 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

CoreText

Disponible pour : macOS Mojave 10.14.4

Conséquence : le traitement d’une police malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2019-8582 : riusksk de VulWar Corp en collaboration avec le programme Zero Day Initiative de Trend Micro

DesktopServices

Disponible pour : macOS Mojave 10.14.4

Conséquence : une application malveillante peut être en mesure de contourner les vérifications de Gatekeeper.

Description : ce problème a été résolu par la réalisation de meilleures vérifications.

CVE-2019-8589 : Andreas Clementi, Stefan Haselwanter et Peter Stelzhammer d’AV-Comparatives

Images disque

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8560 : Nikita Pupyshev de l’Université technique d’État de Moscou-Bauman

EFI

Disponible pour : macOS Mojave 10.14.4

Conséquence : un utilisateur peut se connecter de façon inopinée au compte d’un autre utilisateur.

Description : un problème d’authentification a été résolu grâce à une meilleure gestion des états.

CVE-2019-8634 : Jenny Sprenger et Maik Hoepfel

Gestionnaire Intel Graphics

Disponible pour : macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8616 : Lilang Wu et Moony Li de TrendMicro Mobile Security Research Team en collaboration avec le programme Zero Day Initiative de Trend Micro

Gestionnaire Intel Graphics

Disponible pour : macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème d’initialisation de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8629 : Arash Tohidi de Solita Oy

IOAcceleratorFamily

Disponible pour : macOS High Sierra 10.13.6.

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2018-4456 : Tyler Bohan de Cisco Talos

IOKit

Disponible pour : macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : un utilisateur local peut être en mesure de charger des extensions de noyau non signées.

Description : le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2019-8606 : Phoenhex et qwerty (@_niklasb, @qwertyoruiopz, @bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro

Noyau

Disponible pour : macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2019-8633 : Zhuo Liang de la Qihoo 360 Vulcan Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2019-8525 : Zhuo Liang et shrek_wzw de la Qihoo 360 Nirvan Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : un attaquant distant peut divulguer le contenu de la mémoire.

Description : un problème de lecture hors limites entraînait la divulgation de la mémoire du noyau. Ce problème a été résolu grâce à une meilleure validation des entrées.

CVE-2019-8547 : derrek (@derrekr6)

Noyau

Disponible pour : macOS Mojave 10.14.4

Conséquence : un utilisateur local peut être en mesure d’entraîner l’arrêt inopiné du système ou la lecture du contenu de la mémoire du noyau.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2019-8576 : Brandon Azad de Google Project Zero, Junho Jang et Hanul Choi de la LINE Security Team

Noyau

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’entraîner l’arrêt inopiné du système ou l’écriture de contenu dans la mémoire du noyau.

Description : un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.

CVE-2019-8591 : Ned Williamson en collaboration avec le programme Google Project Zero

Messages

Disponible pour : macOS Mojave 10.14.4

Conséquence : un attaquant distant peut être à l’origine d’un déni de service du système.

Description : un problème de validation des entrées a été résolu par une meilleure validation des entrées.

CVE-2019-8573 : natashenka de Google Project Zero.

Messages

Disponible pour : macOS Mojave 10.14.4

Conséquence : les utilisateurs supprimés d’une conversation iMessage peuvent encore être en mesure de modifier leur état.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2019-8631 : Jamie Bishop de Dynastic

Microcode

Disponible pour : macOS Mojave 10.14.4

Conséquence : les accès de chargement, les tampons de remplissage et les tampons de stockage des systèmes dotés de microprocesseurs employant une exécution spéculative peuvent permettre à un attaquant disposant d’un accès utilisateur local de divulguer des informations via un canal secondaire.

Description : plusieurs problèmes de divulgation d’informations ont été partiellement résolus en mettant à jour le microcode et en changeant le planificateur du système d’exploitation pour isoler le système du contenu web exécuté dans le navigateur. Pour résoudre complètement ces problèmes, certaines mesures d’atténuation facultatives permettent de désactiver l’hyper-threading et d’activer par défaut pour tous les processus des mesures d’atténuation basées sur le microcode. Pour de plus amples détails concernant les mesures d’atténuation, consultez l’article https://support.apple.com/fr-fr/HT210107.

CVE-2018-12126 : Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel ; Lei Shi – Qihoo 360 CERT ; Marina Minkin ; Daniel Genkin de l’Université du Michigan et Yuval Yarom de l’Université d’Adélaïde

CVE-2018-12127 : Brandon Falk de la Microsoft Windows Platform Security Team, et Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel

CVE-2018-12130 : Giorgi Maisuradze de Microsoft Research ; Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel ; Moritz Lipp, Michael Schwarz et Daniel Gruss de l’Université de technologie de Graz ; Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos et Cristiano Giuffrida du groupe VUSec de VU Amsterdam ; Volodymyr Pikhur ; et Dan Horea Lutas de BitDefender

CVE-2019-11091 : Ke Sun, Henrique Kawakami, Kekai Hu et Rodrigo Branco d’Intel ; Moritz Lipp, Michael Schwarz et Daniel Gruss de l’Université de technologie de Graz

Sécurité

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8604 : Fluoroacetate en collaboration avec le programme Zero Day Initiative de Trend Micro

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : il est possible qu’une application profite de privilèges élevés.

Description : un problème de validation des entrées a été résolu par une meilleure gestion de la mémoire.

CVE-2019-8577 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : une requête SQL malveillante peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2019-8600 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : une application malveillante peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation des entrées a été résolu par une meilleure validation des entrées.

CVE-2019-8598 : Omer Gull de Checkpoint Research

SQLite

Disponible pour : macOS Mojave 10.14.4

Conséquence : une application malveillante peut être en mesure d’augmenter les privilèges

Description : un problème de corruption de la mémoire a été résolu par la suppression du code vulnérable.

CVE-2019-8602 : Omer Gull de Checkpoint Research

StreamingZip

Disponible pour : macOS Mojave 10.14.4

Conséquence : un utilisateur local peut apporter des modifications à des sections protégées du système de fichiers.

Description : le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2019-8568 : Dany Lisiansky (@DanyL931)

sysdiagnose

Disponible pour : macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : ce problème a été résolu par une meilleure logique des autorisations.

CVE-2019-8574 : Dayton Pidhirney (@_watbulb) de Seekintoo (@seekintoo)

Prise en charge de la Touch Bar

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2019-8569 : Viktor Oreshkin (@stek29)

WebKit

Disponible pour : macOS Mojave 10.14.4

Conséquence : le traitement de contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de cette dernière.

CVE-2019-6237 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro, Liu Long de la Qihoo 360 Vulcan Team

CVE-2019-8571 : 01 en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8583 : sakura du Tencent Xuanwu Lab, jessica (@babyjess1ca_) du Tencent Keen Lab et dwfault travaillant à l’ADLab de Venustech

CVE-2019-8584 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8586 : un chercheur anonyme

CVE-2019-8587 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8594 : Suyoung Lee et Sooel Son du KAIST Web Security & Privacy Lab et HyungSeok Han et Sang Kil Cha du KAIST Softsec Lab

CVE-2019-8595 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8596 : Wen Xu du SSLab de Georgia Tech

CVE-2019-8597 : 01 en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8601 : Fluoroacetate en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8608 : G. Geshev en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8609 : Wen Xu du SSLab de Georgia Tech

CVE-2019-8610 : un chercheur anonyme travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8611 : Samuel Groß de Google Project Zero

CVE-2019-8615 : G. Geshev de MWR Labs en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2019-8619 : Wen Xu du SSLab de Georgia Tech et Hanqing Zhao du Chaitin Security Research Lab

CVE-2019-8622 : Samuel Groß de Google Project Zero

CVE-2019-8623 : Samuel Groß de Google Project Zero

CVE-2019-8628 : Wen Xu du SSLab de Georgia Tech et Hanqing Zhao du Chaitin Security Research Lab

WebKit

Disponible pour : macOS Mojave 10.14.4

Conséquence : le traitement d’un contenu web malveillant peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2019-8607 : Junho Jang et Hanul Choi de la LINE Security Team

Wi-Fi

Disponible pour : macOS Mojave 10.14.4

Conséquence : un attaquant disposant d’une position privilégiée sur le réseau peut modifier l’état du pilote.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2019-8612 : Milan Stute de Secure Mobile Networking Lab de l’Université de technologie de Darmstadt

Remerciements supplémentaires

CoreAudio

Nous souhaiterions remercier riusksk de VulWar Corp, travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro, pour son aide.

CoreFoundation

Nous souhaiterions remercier m4bln, Xiangqian Zhang, Huiming Liu du Xuanwu Lab de Tencent, Vozzie et Rami pour leur aide.

Noyau

Nous souhaiterions remercier Denis Kopyrin pour son aide.

PackageKit

Nous tenons à remercier Csaba Fitzl (@theevilbit) pour son aide.

Safari

Nous souhaiterions remercier Michael Ball de Gradescope by Turnitin pour son aide.

Préférences Système

Nous tenons à remercier un chercheur anonyme pour son aide.