À propos des correctifs de sécurité de macOS Sierra 10.12.6, de la mise à jour de sécurité 2017-003 pour El Capitan et de la mise à jour de sécurité 2017-003 pour Yosemite

Ce document décrit les correctifs de sécurité de macOS Sierra 10.12.6, la mise à jour de sécurité 2017-003 pour El Capitan et la mise à jour de sécurité 2017-003 pour Yosemite.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple. Vous pouvez chiffrer les communications avec Apple à l’aide de la Clé PGP du groupe de sécurité produit d’Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

macOS Sierra 10.12.6, mise à jour de sécurité 2017-003 pour El Capitan et mise à jour de sécurité 2017-003 pour Yosemite

afclip

Disponible pour : macOS Sierra 10.12.5

Conséquence : le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2017-7016 : riusksk(泉哥) de Tencent Security Platform Department

afclip

Disponible pour : macOS Sierra 10.12.5

Conséquence : le traitement d’un fichier audio malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7033 : riusksk(泉哥) de Tencent Security Platform Department

AppleGraphicsPowerManagement

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7021 : sss et Axis de la Qihoo 360 Nirvan Team

Audio

Disponible pour : macOS Sierra 10.12.5

Conséquence : le traitement d’un fichier audio malveillant peut entraîner la divulgation de la mémoire restreinte.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7015 : riusksk(泉哥) de Tencent Security Platform Department

Bluetooth

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilègessystème.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7050 : Min (Spark) Zheng d’Alibaba Inc.

CVE-2017-7051 : Alex Plaskett de MWR InfoSecurity

Bluetooth

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7054 : Alex Plaskett de MWR InfoSecurity, Lufeng Li de la Qihoo 360 Vulcan Team

Contacts

Disponible pour : macOS Sierra 10.12.5

Conséquence : un attaquant distant peut être en mesure de provoquer la fermeture inopinée d’une application ou l’exécution arbitraire de code.

Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.

CVE-2017-7062 : Shashank (@cyberboyIndia)

CoreAudio

Disponible pour : macOS Sierra 10.12.5

Conséquence : le traitement d’un fichier de film malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure vérification des limites.

CVE-2017-7008 : Yangkang (@dnpushme) de la Qihoo 360 Qex Team

curl

Disponible pour : macOS Sierra 10.12.5

Conséquence : curl présentait plusieurs problèmes.

Description : de nombreux problèmes ont été résolus par la mise à jour vers la version 7.54.0.

CVE-2016-9586

CVE-2016-9594

CVE-2017-2629

CVE-2017-7468

Foundation

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : le traitement d’un fichier malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2017-7031 : HappilyCoded (ant4g0nist et r3dsm0k3)

Font Importer

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : le traitement d’une police malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2017-13850 : John Villamil, Doyensec

Gestionnaire Intel Graphics

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7014 : Lee de Minionz, Axis et sss de la Qihoo 360 Nirvan Team

CVE-2017-7017 : chenqin du Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室)

CVE-2017-7035 : shrek_wzw de la Qihoo 360 Nirvan Team

CVE-2017-7044 : shrek_wzw de la Qihoo 360 Nirvan Team

Gestionnaire Intel Graphics

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2017-7036 : shrek_wzw de la Qihoo 360 Nirvan Team

CVE-2017-7045 : shrek_wzw de la Qihoo 360 Nirvan Team

IOUSBFamily

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7009 : shrek_wzw de la Qihoo 360 Nirvan Team

Noyau

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7022 : un chercheur anonyme

CVE-2017-7024 : un chercheur anonyme

Noyau

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7023 : un chercheur anonyme

Noyau

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut exécuter un code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7025 : un chercheur anonyme

CVE-2017-7027 : un chercheur anonyme

CVE-2017-7069 : Proteas de la Qihoo 360 Nirvan Team

Noyau

Disponible pour : macOS Sierra 10.12.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7026 : un chercheur anonyme

Noyau

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2017-7028 : un chercheur anonyme

CVE-2017-7029 : un chercheur anonyme

Noyau

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut être en mesure de lire la mémoire restreinte.

Description : un problème de validation a été résolu par un meilleur nettoyage des entrées.

CVE-2017-7067 : shrek_wzw de la Qihoo 360 Nirvan Team

Outils kext

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7032 : Axis et sss de la Qihoo 360 Nirvan Team

libarchive

Disponible pour : macOS Sierra 10.12.5

Conséquence : la décompression d’une archive malveillante peut entraîner l’exécution arbitraire de code.

Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure vérification des limites.

CVE-2017-7068 : découvert par OSS-Fuzz

libxml2

Disponible pour : macOS Sierra 10.12.5, OS X El Capitan 10.11.6 et OS X Yosemite 10.10.5

Conséquence : l’analyse d’un document XML malveillant peut mener à la divulgation des informations utilisateur.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2017-7010 : Apple

CVE-2017-7013 : découvert par OSS-Fuzz

libxpc

Disponible pour : macOS Sierra 10.12.5 et OS X El Capitan 10.11.6

Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7047 : Ian Beer de Google Project Zero

Wi-Fi

Disponible pour : macOS Sierra 10.12.5

Conséquence : un attaquant à proximité peut exécuter un code arbitraire sur la puce Wi-Fi.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-7065 : Gal Beniamini de Google Project Zero

Wi-Fi

Disponible pour : macOS Sierra 10.12.5

Conséquence : un attaquant à proximité peut exécuter un code arbitraire sur la puce Wi-Fi.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2017-9417 : Nitay Artenstein d’Exodus Intelligence

Remerciements supplémentaires

curl

Nous souhaiterions remercier Dave Murdock de Tangerine Element pour son aide.