À propos des correctifs de sécurité de macOS Catalina 10.15.6, de la mise à jour de sécurité 2020-004 pour Mojave et de la mise à jour de sécurité 2020-004 pour High Sierra
Ce document décrit les correctifs de sécurité de macOS Catalina 10.15.6, de la mise à jour de sécurité 2020-004 pour Mojave et de la mise à jour de sécurité 2020-004 pour High Sierra.
À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par identifiant CVE dans la mesure du possible.
Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.
macOS Catalina 10.15.6, mise à jour de sécurité 2020-004 pour Mojave, mise à jour de sécurité 2020-004 pour High Sierra
AMD
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2020-9927 : Lilang Wu en collaboration avec le programme Zero Day Initiative de TrendMicro.
Audio
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9884 : Yu Zhou(@yuzhou6666) de 小鸡帮 en collaboration avec le programme Zero Day Initiative de Trend Micro.
CVE-2020-9889 : chercheur anonyme en collaboration avec le programme Zero Day Initiative de Trend Micro, JunDong Xie et XingWei Lin de l’Ant-Financial Light-Year Security Lab.
Audio
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9888 : JunDong Xie et XingWei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9890 : JunDong Xie et XingWei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9891 : JunDong Xie et XingWei Lin de l’Ant-Financial Light-Year Security Lab.
Bluetooth
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de cette dernière.
CVE-2020-9928 : Yu Wang de Didi Research America.
Bluetooth
Disponible pour : macOS Mojave 10.14.6, macOS Catalina 10.15.5
Conséquence : un utilisateur local peut être en mesure d’entraîner l’arrêt inopiné du système ou la lecture du contenu de la mémoire du noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2020-9929 : Yu Wang de Didi Research America.
Clang
Disponible pour : macOS Catalina 10.15.5
Conséquence : Clang peut générer un code machine n’appliquant pas correctement les codes d’authentification du pointeur.
Description : un problème de logique a été résolu par une meilleure validation.
CVE-2020-9870 : Samuel Groß de Google Project Zero.
CoreAudio
Disponible pour : macOS High Sierra 10.13.6.
Conséquence : un dépassement de la mémoire tampon peut entraîner l’exécution arbitraire de code.
Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.
CVE-2020-9866 : Yu Zhou de 小鸡帮 et Jundong Xie de l’Ant-Financial Light-Year Security Lab
Core Bluetooth
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant peut provoquer la fermeture inopinée d’une application.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2020-9869 : Patrick Wardle de Jamf.
CoreCapture
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9949 : Proteas.
CoreFoundation
Disponible pour : macOS Catalina 10.15.5
Conséquence : un utilisateur local peut accéder à des données utilisateur sensibles.
Description : la gestion des variables d’environnement présentait un problème. Ce problème a été résolu par une meilleure validation.
CVE-2020-9934 : Matt Shockley (linkedin.com/in/shocktop).
CoreGraphics
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9883 : un chercheur anonyme et Mickey Jin de Trend Micro.
Crash Reporter
Disponible pour : macOS Catalina 10.15.5
Conséquence : une application malveillante peut être en mesure de quitter sa sandbox.
Description : un problème de corruption de la mémoire a été résolu par la suppression du code vulnérable.
CVE-2020-9865 : Zhuo Liang de la Vulcan Team de Qihoo 360 en collaboration avec 360 BugCloud.
Crash Reporter
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant local peut être en mesure d’augmenter ses privilèges.
Description : un problème affectait la logique de validation des chemins d’accès pour les liens symboliques. Celui-ci a été résolu en améliorant le nettoyage des chemins d’accès.
CVE-2020-9900 : Cees Elzinga, Zhongcheng Li (CK01) de la Zero-dayits Team de Legendsec (Qi An Xin Group).
FontParser
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier de polices malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9980 : Xingwei Lin de l’Ant Security Light-Year Lab.
Graphics Drivers
Disponible pour : macOS Catalina 10.15.5
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9799 : ABC Research s.r.o.
Heimdal
Disponible pour : macOS Catalina 10.15.5
Conséquence : un utilisateur local peut divulguer des données utilisateur sensibles.
Description : ce problème a été résolu par une meilleure protection des données.
CVE-2020-9913 : Cody Thomas de SpecterOps.
ImageIO
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2020-27933 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
ImageIO
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : plusieurs problèmes de dépassement de la mémoire tampon existaient dans openEXR.
Description : plusieurs problèmes dans openEXR ont été résolus par de meilleures vérifications.
CVE-2020-11758 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11759 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11760 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11761 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11762 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11763 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11764 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-11765 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
ImageIO
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9871 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9872 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9874 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9879 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9936 : Mickey Jin de Trend Micro.
CVE-2020-9937 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
ImageIO
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9919 : Mickey Jin de Trend Micro.
ImageIO
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution arbitraire de code.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9876 : Mickey Jin de Trend Micro
ImageIO
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2020-9873 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9938 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
ImageIO
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9877 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
ImageIO
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de dépassement d’entier a été résolu par une meilleure validation des entrées.
CVE-2020-9875 : Mickey Jin de Trend Micro.
ImageIO
Disponible pour : macOS Mojave 10.14.6, macOS Catalina 10.15.5
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2020-9873 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9938 : Xingwei Lin de l’Ant-Financial Light-Year Security Lab.
CVE-2020-9984 : un chercheur anonyme.
Image Processing
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : l’affichage d’un fichier JPEG malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2020-9887 : Mickey Jin de Trend Micro.
Intel Graphics Driver
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : un utilisateur local peut être en mesure d’entraîner l’arrêt inopiné du système ou la lecture du contenu de la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2020-9908 : Junzhi Lu(@pwn0rz) en collaboration avec le programme Zero Day Initiative de Trend Micro.
Intel Graphics Driver
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application malveillante peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de concurrence a été résolu par une validation supplémentaire.
CVE-2020-9990 : ABC Research s.r.l. et ABC Research s.r.o.en collaboration avec le programme Zero Day Initiative de Trend Micro.
Intel Graphics Driver
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application malveillante est susceptible d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2020-9921 : ABC Research s.r.o. en collaboration avec le programme Zero Day Initiative de Trend Micro.
Kernel
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau est susceptible d’injecter des données dans des connexions actives au sein d’un tunnel VPN.
Description : un problème de routage a été résolu par l’amélioration des restrictions.
CVE-2019-14899 : William J. Tolley, Beau Kujath et Jedidiah R. Crandall
Kernel
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2020-9904 : Tielei Wang du Pangu Lab.
Kernel
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2020-9924 : Matt DeVore de Google.
Kernel
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application malveillante est susceptible d’exécuter du code arbitraire avec des privilèges système.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion des états.
CVE-2020-9892 : Andy Nguyen de Google.
Kernel
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème d’initialisation de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2020-9863 : Xinru Chi du Pangu Lab.
Kernel
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application malveillante peut être en mesure de déterminer la structure de la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
CVE-2020-9902 : Xinru Chi et Tielei Wang du Pangu Lab.
Kernel
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.
CVE-2020-9905 : Raz Mashat (@RazMashat) de ZecOps.
Kernel
Disponible pour : macOS Catalina 10.15.5
Conséquence : une application malveillante peut entraîner la divulgation d’une mémoire restreinte.
Description : un problème de divulgation d’informations a été résolu par une meilleure gestion des états.
CVE-2020-9997 : Catalin Valeriu Lita de SecurityScorecard.
libxml2
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier XML malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution arbitraire de code.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9926 : découvert par OSS-Fuzz.
libxpc
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6
Conséquence : une application malveillante est en mesure d’effacer des fichiers arbitraires.
Description : un problème de gestion des chemins a été résolu par une meilleure validation.
CVE-2020-9994 : Apple.
Login Window
Disponible pour : macOS Catalina 10.15.5
Conséquence : un utilisateur peut se connecter de façon inopinée au compte d’un autre utilisateur.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2020-9935 : un chercheur anonyme.
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2019-19906
Disponible pour : macOS Catalina 10.15.5
Conséquence : un serveur de messagerie malveillant peut écraser des fichiers de messagerie arbitraires.
Description : un problème de gestion des chemins a été résolu par une meilleure validation.
CVE-2020-9920 : YongYue Wang (alias BigChan) de l’AF Team d’Hillstone Networks.
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : le traitement d’un e-mail malveillant peut entraîner l’écriture de fichiers arbitraires.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2020-9922 : Mikko Kenttälä (@Turmio_) de SensorFu.
Messages
Disponible pour : macOS Catalina 10.15.5
Conséquence : un utilisateur exclu d’un groupe iMessage pouvait de nouveau le rejoindre.
Description : un problème de gestion des réponses Tapback existait dans iMessage. Le problème a été résolu par une vérification supplémentaire.
CVE-2020-9885 : un chercheur anonyme et Suryansh Mansharamani de la WWP High School North (medium.com/@suryanshmansha).
Model I/O
Disponible pour : macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier USD malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution de code arbitraire.
Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9878 : Holger Fuhrmannek de Deutsche Telekom Security.
Model I/O
Disponible pour : macOS Mojave 10.14.6, macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier USD malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution de code arbitraire.
Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.
CVE-2020-9880 : Holger Fuhrmannek de Deutsche Telekom Security.
Model I/O
Disponible pour : macOS Mojave 10.14.6, macOS Catalina 10.15.5
Conséquence : le traitement d’un fichier USD malveillant peut entraîner l’arrêt inopiné d’applications ou l’exécution de code arbitraire.
Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.
CVE-2020-9878 : Aleksandar Nikolic de Cisco Talos et Holger Fuhrmannek de Deutsche Telekom Security.
CVE-2020-9881 : Holger Fuhrmannek de Deutsche Telekom Security.
CVE-2020-9882 : Holger Fuhrmannek de Deutsche Telekom Security.
CVE-2020-9940 : Holger Fuhrmannek de Deutsche Telekom Security.
CVE-2020-9985 : Holger Fuhrmannek de Deutsche Telekom Security.
OpenLDAP
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : un attaquant distant peut être à l’origine d’un déni de service.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2020-12243
Perl
Disponible pour : macOS Catalina 10.15.5
Conséquence : un problème de dépassement d’entier dans le compilateur d’expressions régulières Perl permet à un attaquant distant d’insérer des instructions dans le formulaire compilé d’expressions régulières.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2020-10878 : Hugo van der Sanden et Slaven Rezic
Perl
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant peut être en mesure de provoquer l’exécution arbitraire de code.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2020-12723 : Sergey Aleynikov
rsync
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6
Conséquence : un attaquant distant peut être en mesure d’effacer des fichiers existants.
Description : le traitement des liens symboliques présentait un problème de validation. Ce problème a été résolu par une meilleure validation des liens symboliques.
CVE-2014-9512 : gaojianfeng.
Sandbox
Disponible pour : macOS Mojave 10.14.6, macOS Catalina 10.15.5
Conséquence : un utilisateur local peut être en mesure d’entraîner l’arrêt inopiné du système ou la lecture du contenu de la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2020-9930 : Zhiyi Zhang de la Codesafe Team de Legendsec du Qi’anxin Group.
Sandbox
Disponible pour : macOS Catalina 10.15.5
Conséquence : un utilisateur local peut être en mesure de charger des extensions de noyau non signées.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2020-9939 : @jinmo123, @setuid0x0_ et @insu_yun_en de @SSLab_Gatech en collaboration avec le programme Zero Day Initiative de Trend Micro.
Security
Disponible pour : macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2020-9864 : Alexander Holodny.
Security
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : un attaquant pouvait se faire passer pour un site web de confiance en utilisant des éléments de clé partagée pour un certificat ajouté par l’administrateur.
Description : un problème de validation de certificat existait lors du traitement des certificats ajoutés par l’administrateur. Ce problème a été résolu par une meilleure validation des certificats.
CVE-2020-9868 : Brian Wolff d’Asana.
Security
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6
Conséquence : il est possible qu’une application profite de privilèges élevés.
Description : un problème de logique a été résolu par une meilleure validation.
CVE-2020-9854 : Ilias Morad (A2nkF).
sysdiagnose
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant local peut être en mesure d’augmenter ses privilèges.
Description : un problème affectait la logique de validation des chemins d’accès pour les liens symboliques. Celui-ci a été résolu en améliorant le nettoyage des chemins d’accès.
CVE-2020-9901 : Tim Michaud (@TimGMichaud) de Leviathan et Zhongcheng Li (CK01) de la Zero-dayits Team de Legendsec (Qi An Xin Group).
Vim
Disponible pour : macOS High Sierra 10.13.6 et macOS Mojave 10.14.6.
Conséquence : un attaquant distant peut être en mesure de provoquer l’exécution arbitraire de code.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2019-20807 : Guilherme de Almeida Suckevicz.
WebDAV
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : un processus en sandbox est susceptible de contourner les restrictions de la sandbox.
Description : ce problème a été résolu par l’amélioration des autorisations.
CVE-2020-9898 : Sreejith Krishnan R (@skr0x1C0).
Wi-Fi
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant est susceptible d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2020-9918 : Jianjun Dai du 360 Alpha Lab en collaboration avec 360 BugCloud (bugcloud.360.cn).
Wi-Fi
Disponible pour : macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.5
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2020-9899 : Yu Wang de Didi Research America.
Wi-Fi
Disponible pour : macOS Catalina 10.15.5
Conséquence : un attaquant distant est susceptible d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2020-9906 : Ian Beer de Google Project Zero.
Remerciements supplémentaires
CoreFoundation
Nous tenons à remercier Bobby Pelletier pour son aide.
ImageIO
Nous tenons à remercier Xingwei Lin de l’Ant-Financial Light-Year Security Lab pour son aide.
Siri
Nous tenons à remercier Yuval Ron, Amichai Shulman et Eli Biham de l’Institut de technologie d’Israël (ou « Technion ») pour leur aide.
USB Audio
Nous tenons à remercier Andy Davis du NCC Group pour son aide.
Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.