À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par identifiant CVE dans la mesure du possible.
Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.
macOS Big Sur 11.6
Publié le 13 septembre 2021
AppleMobileFileIntegrity
Disponible pour : macOS Big Sur
Conséquence : un attaquant local peut être en mesure de lire des informations sensibles.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30811 : un chercheur anonyme en collaboration avec Compartir
Entrée ajoutée le 19 janvier 2022
Apple Neural Engine
Disponible pour : macOS Big Sur
Conséquence : une application malveillante est susceptible d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2021-30838 : proteas wang
Entrée ajoutée le 19 janvier 2022
CoreAudio
Disponible pour : macOS Big Sur
Conséquence : le traitement d’un fichier audio malveillant peut entraîner la fermeture inopinée d’une application ou l’exécution arbitraire de code.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2021-30834 : JunDong Xie de l’Ant Security Light-Year Lab
Entrée ajoutée le 19 janvier 2022
CoreGraphics
Disponible pour : macOS Big Sur
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2021-30928 : Mickey Jin (@patch1t) de Trend Micro
Entrée ajoutée le 19 janvier 2022
CoreGraphics
Disponible pour : macOS Big Sur
Conséquence : le traitement d’un PDF malveillant peut entraîner l’exécution arbitraire de code. Apple a conscience que cette faille de sécurité a pu être exploitée.
Description : un problème de dépassement d’entier a été résolu par une meilleure validation des entrées.
CVE-2021-30860 : Citizen Lab
Core Telephony
Disponible pour : macOS Big Sur
Conséquence : un processus en sandbox peut être en mesure de contourner les restrictions de la sandbox. Apple avait conscience que cette faille pouvait être exploitée au moment de la publication.
Description : un problème de désérialisation a été résolu par une meilleure validation.
CVE-2021-31010 : Citizen Lab et Google Project Zero
Entrée ajoutée le 25 mai 2022
CUPS
Disponible pour : macOS Big Sur
Conséquence : un attaquant local peut être en mesure d’augmenter ses privilèges.
Description : un problème de permissions existait. Il a été résolu par une meilleure validation des autorisations.
CVE-2021-30827 : un chercheur anonyme
Entrée ajoutée le 20 septembre 2021
CUPS
Disponible pour : macOS Big Sur
Conséquence : un utilisateur local peut être en mesure de lire des fichiers arbitraires en tant qu’utilisateur root.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30828 : un chercheur anonyme
Entrée ajoutée le 20 septembre 2021
CUPS
Disponible pour : macOS Big Sur
Conséquence : un utilisateur local peut être en mesure d’exécuter des fichiers arbitraires.
Description : un problème d’analyse d’URI a été résolu grâce à une analyse améliorée.
CVE-2021-30829 : un chercheur anonyme
Entrée ajoutée le 20 septembre 2021
curl
Disponible pour : macOS Big Sur
Conséquence : le curl pouvait potentiellement divulguer des informations internes sensibles au serveur via un protocole réseau à texte clair.
Description : un dépassement de la mémoire tampon a été résolu par une meilleure validation des saisies.
CVE-2021-22925 : Red Hat Product Security
Entrée ajoutée le 20 septembre 2021, mise à jour le 19 janvier 2022
CVMS
Disponible pour : macOS Big Sur
Conséquence : un attaquant local peut être en mesure d’augmenter ses privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2021-30832 : Mickey Jin (@patch1t) de Trend Micro
Entrée ajoutée le 20 septembre 2021
FontParser
Disponible pour : macOS Big Sur
Conséquence : le traitement d’un fichier .dfont malveillant peut entraîner l’exécution arbitraire de code.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30841 : Xingwei Lin de l’Ant Security Light-Year Lab
CVE-2021-30842 : Xingwei Lin de l’Ant Security Light-Year Lab
CVE-2021-30843 : Xingwei Lin de l’Ant Security Light-Year Lab
Entrée ajoutée le 20 septembre 2021
Gatekeeper
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure de contourner les vérifications de Gatekeeper.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30853 : Gordon Long (@ethicalhax) de Box, Inc.
Entrée ajoutée le 20 septembre 2021
Graphics Drivers
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de concurrence a été résolu par une meilleure gestion des états.
CVE-2021-30933 : Jack Dates de RET2 Systems, Inc.
Entrée ajoutée le 25 mai 2022
ImageIO
Disponible pour : macOS Big Sur
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30835 : Ye Zhang de Baidu Security
Entrée ajoutée le 19 janvier 2022
ImageIO
Disponible pour : macOS Big Sur
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30847 : Mike Zhang de Pangu Lab
Entrée ajoutée le 20 septembre 2021
Kernel
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2021-30830 : Zweig de Kunlun Lab
Entrée ajoutée le 20 septembre 2021
Kernel
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2021-30865 : Zweig de Kunlun Lab
Entrée ajoutée le 20 septembre 2021
Kernel
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de concurrence a été résolu par un meilleur verrouillage.
CVE-2021-30857 : Zweig de Kunlun Lab
Entrée ajoutée le 20 septembre 2021
Kernel
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de confusion de types a été résolu par une meilleure gestion des états.
CVE-2021-30859 : Apple
Entrée ajoutée le 20 septembre 2021
LaunchServices
Disponible pour : macOS Big Sur
Conséquence : un processus en sandbox est susceptible de contourner les restrictions de la sandbox.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2021-30864 : Ron Hass (@ronhass7) de Perception Point, Ron Waisberg (@epsilan)
Entrée ajoutée le 19 janvier 2022
libexpat
Disponible pour : macOS Big Sur
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : ce problème a été résolu par l’installation de la version 2.4.1 d’expat.
CVE-2013-0340 : un chercheur anonyme
Entrée ajoutée le 20 septembre 2021
Login Window
Disponible pour : macOS Big Sur
Conséquence : une personne disposant d’un accès à un Mac hôte peut être en mesure de contourner la fenêtre d’ouverture de session dans Remote Desktop pour une instance verrouillée de macOS.
Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.
CVE-2021-30813 : Benjamin Berger de BBetterTech LLC, Aaron Hines d’AHDesigns916, Peter Goedtkindt d’Informatique-MTF SA.
Entrée ajoutée le 25 mai 2022
Model I/O
Disponible pour : macOS Big Sur
Conséquence : le traitement d’un fichier USD malveillant peut entraîner la divulgation du contenu de la mémoire.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2021-30819
Entrée ajoutée le 19 janvier 2022
Preferences
Disponible pour : macOS Big Sur
Conséquence : une application peut être en mesure d’accéder à des fichiers restreints.
Description : le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.
CVE-2021-30855 : Zhipeng Huo (@R3dF09) et Yuebin Sun (@yuebinsun2020) du Tencent Security Xuanwu Lab (xlab.tencent.com)
Entrée ajoutée le 20 septembre 2021
Sandbox
Disponible pour : macOS Big Sur
Conséquence : une application malveillante peut être en mesure de contourner les préférences de confidentialité.
Description : ce problème a été résolu par l’application d’une meilleure logique avec les autorisations.
CVE-2021-30925 : Csaba Fitzl (@theevilbit) d’Offensive Security
Entrée ajoutée le 19 janvier 2022
Sandbox
Disponible pour : macOS Big Sur
Conséquence : un utilisateur peut être en mesure d’accéder à des sections protégées du système de fichiers.
Description : un problème d’accès a été résolu par l’application de meilleures restrictions d’accès.
CVE-2021-30850 : un chercheur anonyme
Entrée ajoutée le 20 septembre 2021
SMB
Disponible pour : macOS Big Sur
Conséquence : un utilisateur local peut être en mesure de lire la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2021-30845 : Peter Nguyen Vu Hoang de STAR Labs
Entrée ajoutée le 20 septembre 2021
SMB
Disponible pour : macOS Big Sur
Conséquence : un attaquant distant peut divulguer le contenu de la mémoire.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2021-30844 : Peter Nguyen Vu Hoang de STAR Labs
Entrée ajoutée le 20 septembre 2021
WebKit
Disponible pour : macOS Big Sur
Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code. Apple a conscience que cette faille de sécurité a pu être exploitée.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2021-30858 : un chercheur anonyme
Remerciements supplémentaires
APFS
Nous tenons à remercier Koh M. Nakagawa de FFRI Security, Inc., pour son aide.
Entrée ajoutée le 20 septembre 2021, mise à jour le 21 juin 2022
App Support
Nous tenons à remercier @CodeColorist, un chercheur anonyme et 漂亮鼠 de 赛博回忆录 pour leur aide.
Entrée ajoutée le 20 septembre 2021 et mise à jour le 25 mai 2022
CoreML
Nous tenons à remercier hjy79425575 qui travaille en collaboration avec le programme Trend Micro Zero Day Initiative pour son aide.
Entrée ajoutée le 20 septembre 2021
CUPS
Nous tenons à remercier un chercheur anonyme, Inc. et Nathan Nye de WhiteBeam Security pour leur aide.
Entrée ajoutée le 20 septembre 2021 et mise à jour le 25 mai 2022
Kernel
Nous tenons à remercier Anthony Steinhauser du projet Safeside de Google pour son aide.
Entrée ajoutée le 20 septembre 2021
Sandbox
Nous tenons à remercier Csaba Fitzl (@theevilbit) d’Offensive Security pour son aide.
Entrée ajoutée le 20 septembre 2021
smbx
Nous tenons à remercier Zhongcheng Li (CK01) pour son aide.
Entrée ajoutée le 20 septembre 2021