אודות תוכן האבטחה של visionOS 1.3

המסמך מתאר את תוכן האבטחה של visionOS 1.3.

מידע על עדכוני האבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת אותן עד לביצוע חקירה בנושא ויש גרסאות חדשות או תיקונים זמינים. מהדורות אחרונות מופיעות בעמוד מהדורות האבטחה של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID‏ במידת האפשר.

למידע נוסף על אבטחה, עיינו בעמוד אבטחת מוצרי Apple.

visionOS 1.3

AirDrop

זמין עבור: Apple Vision Pro

השפעה: ייתכן שקובץ שהתקבל מ-AirDrop לא סומן בדגל הסגר

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-54564‏: Linwz of DEVCORE

Apple Neural Engine

זמין עבור: Apple Vision Pro

השפעה: תוקף מקומי עלול לגרום לכיבוי בלתי צפוי של המערכת

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-27826‏: Ye Zhang ‏(@VAR10CK) מ-Baidu Security ו-Minghao Lin

AppleAVD

זמין עבור: Apple Vision Pro

השפעה: יישום עלול להיות מסוגל לגרום לסיום לא צפוי של פעולת המערכת

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-27804‏: Meysam Firouzi ‏(‎@R00tkitSMM)

CoreGraphics

זמין עבור: Apple Vision Pro

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-40799‏: D4m0n

ImageIO

זמין עבור: Apple Vision Pro

השפעה: עיבוד תמונה עלול לגרום למניעת שירות

תיאור: זו פגיעות בקוד מקור פתוח ותוכנת Apple היא בין הפרויקטים המושפעים. ה-CVE-ID הוקצה על-ידי צד שלישי. ניתן לקבל מידע נוסף על הבעיה ועל CVE-ID בכתובת cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

זמין עבור: Apple Vision Pro

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-40806‏: Yisumi

ImageIO

זמין עבור: Apple Vision Pro

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית גישה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-40777‏: Junsung Lee בעבודה עם Trend Micro Zero Day Initiative, ו-Amir Bazine ו-Karsten König מ-CrowdStrike Counter Adversary Operations

ImageIO

זמין עבור: Apple Vision Pro

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: גלישה נומרית טופלה באמצעות אימות קלט משופר.

CVE-2024-40784: ‏Junsung Lee בעבודה עם Trend Micro Zero Day Initiative ו-Gandalf4a

Kernel

זמין עבור: Apple Vision Pro

השפעה: תוקף מקומי עלול להצליח לקבוע את פריסת זיכרון הליבה

תיאור: בעיית חשיפת מידע טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.

CVE-2024-27863‏: CertiK SkyFall Team

Kernel

זמין עבור: Apple Vision Pro

השפעה: תוקף במיקום מורשה ברשת עלול להצליח לזייף מנות רשת

תיאור: מצב מירוץ טופל באמצעות נעילה משופרת.

CVE-2024-27823: פרופ' בני פנקס מאוניברסיטת בר אילן, פרופ' עמית קליין מהאוניברסיטה העברית ו-EP

Kernel

זמין עבור: Apple Vision Pro

השפעה: תוקף מקומי עלול לגרום לכיבוי בלתי צפוי של המערכת

תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-40788‏: Minghao Lin ו-Jiaxun Zhu מאוניברסיטת ג'ג'יאנג

Presence

זמין עבור: Apple Vision Pro

השפעה: קלטים למקלדת הווירטואלית עשויים להתקבל מ-Persona

תיאור: הבעיה טופלה בהשהיה של Persona כשהמקלדת הווירטואלית פעילה.

CVE-2024-40865:‏ Hanqiu Wang מאוניברסיטת פלורידה, Zihao Zhan מאוניברסיטת טקסס טק, Haoqi Shan מ-Certik,‏ Siqi Dai מאוניברסיטת פלורידה, Max Panoff מאוניברסיטת פלורידה, ו-Shuo Wang מאוניברסיטת פלורידה

Shortcuts

זמין עבור: Apple Vision Pro

השפעה: קיצור דרך עשוי לעקוף את הדרישות להרשאה לגלישה באינטרנט

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2024-40809: חוקר אנונימי

CVE-2024-40812: חוקר אנונימי

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד תוכן אינטרנט עלול לגרום למניעת שירות

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-54551‏: ajajfxhj

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

CVE-2024-40776‏: Huang Xilin מ-Ant Group Light-Year Security Lab

CVE-2024-40782‏: Maksymilian Motyl

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-40779‏: Huang Xilin מ-Ant Group Light-Year Security Lab

CVE-2024-40780‏: Huang Xilin מ-Ant Group Light-Year Security Lab

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד של תוכן אינטרנט בעל מבנה זדוני עלול לגרום להתקפת Scripting בין אתרים

תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.

CVE-2024-40785: ‏Johan Carlsson‏ (joaxcar)

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית גישה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-40789‏: Seunghyun Lee ‏(@0x10n) מ-KAIST Hacking Lab בעבודה עם Trend Micro Zero Day Initiative

WebKit

זמין עבור: Apple Vision Pro

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: הבעיה טופלה באמצעות בדיקות משופרות.

CVE-2024-44185:‏ Gary Kwong

WebKit

זמין עבור: Apple Vision Pro

השפעה: משתמש עלול להצליח לעקוף הגבלות מסוימות על תוכן באינטרנט

תיאור: בעיה בטיפול בפרוטוקולי URL טופלה באמצעות לוגיקה משופרת.

CVE-2024-44206:‏ Andreas Jaegersberger ו-Ro Achterberg

הכרה נוספת

Shortcuts

אנחנו מבקשים להודות לחוקר אנונימי על הסיוע.