אודות תוכן האבטחה של macOS High Sierra 10.13

מסמך זה מתאר את תוכן האבטחה של macOS High Sierra 10.13.

אודות עדכוני אבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת וגרסאות או רכיבי Patch יהיו זמינים. גרסאות עדכניות רשומות בדף עדכוני אבטחה של Apple.

למידע נוסף אודות אבטחה, עיינו בדף אבטחת מוצרי Apple. ניתן להצפין תקשורת עם Apple באמצעות 'מפתח PGP לאבטחת מוצר' של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID, כאשר הדבר ניתן.

macOS High Sierra 10.13

הושק ב-25 בספטמבר 2017

802.1X

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף יוכל לנצל חולשות ב-TLS 1.0

תיאור: בעיית באבטחת פרוטוקול טופלה על ידי הפעלת TLS 1.1 ו-TLS 1.2.

CVE-2017-13832: דאג ווסלר מאוניברסיטת פלורידה סטייט

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

Apache

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-Apache

תיאור: מספר בעיות היו קיימות ב-Apache. הן טופלו על ידי עדכון Apache לגרסה 2.4.25.

CVE-2016-0736

CVE-2016-2161

CVE-2016-5387

CVE-2016-8740

CVE-2016-8743

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-14 בדצמבר 2018

הגדרות חשבון Apple

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף מקומי יוכל לקבל גישה לאסימוני אימות של iCloud

תיאור: בעיה הייתה קיימת באחסון של אסימונים רגישים. בעיה זו טופלה על ידי העברת האסימונים ל'צרור המפתחות'.

CVE-2017-13909: אנדראס נילסון

הערך נוסף ב-18 באוקטובר 2018

AppleScript

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ביטול הידור של AppleScript באמצעות osadecompile להוביל לביצוע קוד שרירותי

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-13809: ‏bat0s

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

חומת אש של אפליקציות

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שהגדרה של חומת אש של אפליקציה שנדחתה בעבר תיכנס לתוקף לאחר שדרוג

תיאור: בטיפול בהגדרות של חומת אש הייתה בעיית שדרוג. הבעיה נפתרה על ידי טיפול משופר בהגדרות של חומת אש במהלך שדרוגים.

CVE-2017-7084: חוקר אנונימי

AppSandbox

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה לגרום מניעת שירות

תיאור: מספר בעיות של מניעת שירות נפתרו באמצעות טיפול משופר בזיכרון.

CVE-2017-7074: דניאל ג'לקוט מ-Red Sweater Software

ATS

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד של גופן בעל מבנה זדוני עלול לגרום לחשיפה של זיכרון התהליך

תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.

CVE-2017-13820: ג'ון וילאמיל, Doyensec

הערך נוסף ב-31 באוקטובר 2017

שמע

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ניתוח קובץ QuickTime בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: בעיית צריכת זיכרון נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2017-13807: יאנג-קאנג (‎@dnpushme) מצוות Qex ב-Qihoo 360

הערך נוסף ב-31 באוקטובר 2017

Captive Network Assistant

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: משתמש מקומי עלול לשלוח סיסמה לא מוצפנת ברשת ללא ידיעתו

תיאור: מצב האבטחה של דפדפן הפורטל של Captive לא היה ברור. בעיה זו טופלה באמצעות נראות משופרת של מצב האבטחה של דפדפן הפורטל של Captive.

CVE-2017-7143: מתיו גרין מאוניברסיטת ג'ונס הופקינס

הערך עודכן ב-3 באוקטובר 2017

CFNetwork

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13829: ניקלאס באומסטארק וסמואל גרו יחד עם Zero Day Initiative של Trend Micro 

CVE-2017-13833: ניקלאס באומסטארק וסמואל גרו יחד עם Zero Day Initiative של Trend Micro

הערך נוסף ב-10 בנובמבר 2017

CFNetwork Proxies

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף במיקום מורשה ברשת יוכל לגרום מניעת שירות

תיאור: מספר בעיות של מניעת שירות נפתרו באמצעות טיפול משופר בזיכרון.

CVE-2017-7083: אבהינאב באנסל מ-Zscaler Inc.‎

CFString

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-13821: המרכז האוסטרלי לאבטחת סייבר – מינהל האותות האוסטרלי

הערך נוסף ב-31 באוקטובר 2017

CoreAudio

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: קריאה מחוץ לטווח טופלה באמצעות עדכון ל-Opus בגרסה 1.1.4.

CVE-2017-0381: ‏V.E.O ‏(‎@VYSEa) מהצוות לחקר איומים במכשירים ניידים, Trend Micro

CoreText

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ גופן בעל מבנה זדוני עלול להוביל להפעלה של קוד שרירותי

תיאור: בעיית צריכת זיכרון נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2017-13825: המרכז האוסטרלי לאבטחת סייבר – מינהל האותות האוסטרלי

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-16 בנובמבר 2018

CoreTypes

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד של דף אינטרנט בעל מבנה זדוני עלול לגרום לטעינה של דמות כונן

תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.

CVE-2017-13890: ‏Apple, תיאודור רגנאר גיסאלסון מ-Syndis

הערך נוסף ב-29 במרץ 2018

DesktopServices

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף מקומי יוכל לצפות בנתוני משתמש לא מוגנים

תיאור: הייתה קיימת בעיה בגישה לקבצים מסוימים בתיקיית הבית. בעיה זו טופלה באמצעות שיפור ההגבלות על הגישה.

CVE-2017-13851: אנריקה קוריאה דה אמורים

הערך נוסף ב-2 בנובמבר 2017, עודכן ב-14 בפברואר 2018

כלי עזר לספריות

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף מקומי יצליח לקבוע את ה-Apple ID של בעל המחשב

תיאור: בטיפול ב-Apple ID הייתה בעיית הרשאות. בעיה זו טופלה באמצעות שיפור בבקרות הגישה.

CVE-2017-7138: דניאל קוואק מאוניברסיטת מסריק

הערך עודכן ב-3 באוקטובר 2017

קובץ

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות בקובץ

תיאור: מספר תקלות תוקנו באמצעות עדכון לגרסה 5.30.

CVE-2017-7121: התגלה על-ידי OSS-Fuzz

CVE-2017-7122: התגלה על-ידי OSS-Fuzz

CVE-2017-7123: התגלה על-ידי OSS-Fuzz

CVE-2017-7124: התגלה על-ידי OSS-Fuzz

CVE-2017-7125: התגלה על-ידי OSS-Fuzz

CVE-2017-7126: התגלה על-ידי OSS-Fuzz

קובץ

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות בקובץ

תיאור: מספר תקלות תוקנו באמצעות עדכון לגרסה 5.31.

CVE-2017-13815

הערך נוסף ב-31 באוקטובר 2017

גופנים

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד של טקסט לא מהימן עלול להוביל לזיוף זהות

תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצב משופר.

CVE-2017-13828: לאונרד גריי ורוברט סיסק מ-Google Chrome

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

fsck_msdos

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13811: ‏V.E.O.‎ ‏(‎@VYSEa) מהצוות לאיומים מתקדמים במכשירים ניידים, Trend Micro

הערך עודכן ב-2 בנובמבר 2017

fsck_msdos

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות ברמה גבוהה יותר

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13835: חוקר אנונימי

הערך נוסף ב-18 באוקטובר 2018

Heimdal

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף במיקום מורשה ברשת יוכל לחקות שירות

תיאור: בטיפול בשם השירות של KDC-REP הייתה בעיית אימות. בעיה זו טופלה באמצעות שיפור האימות.

CVE-2017-11103: ג'פרי אלטמן, ויקטור דוכובני וניקו וויליאמס

HelpViewer

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: קובץ HTML בהסגר עלול להפעיל קובץ JavaScript ממקורות מרובים

תיאור: בעיית scripting מאתרים מרובים הייתה קיימת ב-HelpViewer. בעיה זו טופלה על-ידי הסרת הקובץ המושפע.

CVE-2017-13819: פיליפו קוואלרין מ-SecuriTeam Secure Disclosure

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

HFS

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13830: סרגיי שומילו מאוניברסיטת רוהר בוכום

הערך נוסף ב-31 באוקטובר 2017

ImageIO

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד תמונה בעלת מבנה זדוני עלול להוביל לביצוע קוד שרירותי

תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.

CVE-2017-13814: המרכז האוסטרלי לאבטחת סייבר – מינהל האותות האוסטרלי

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-16 בנובמבר 2018

ImageIO

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד של תמונה בעלת מבנה זדוני עלול להוביל למניעת שירות

תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.

CVE-2017-13831: גלן קרמייקל

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-3 באפריל 2019

תוכנית התקנה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שאפליקציה זדונית תצליח לגשת למפתח ביטול הנעילה של FileVault

תיאור: בעיה זו טופלה באמצעות הסרת הרשאות נוספות.

CVE-2017-13837: פטריק וורדל מ-Synack

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

IOAcceleratorFamily

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה זדונית עלולה להצליח להשיג הרשאות ברמה גבוהה יותר

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13906

הערך נוסף ב-18 באוקטובר 2018

IOFireWireFamily

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-7077: ‏ברנדון אזאד

IOFireWireFamily

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-7119: שיאולונג באי ומין ("ספארק") ז'נג מ-Alibaba Inc.‎, בנימין גנאם (‎@mitp0sh) מ-PDX

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-7114: אלכס פלאסקט מ-MWR InfoSecurity

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: משתמש מקומי עשוי להדליף מידע רגיש אודות המשתמש

תיאור: במונים של מנות ליבה הייתה בעיית השראות. בעיה זו טופלה באמצעות שיפור אימות ההרשאה.

CVE-2017-13810: ז'י-יון צ'יאן מאוניברסיטת קליפורניה, ריברסייד

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: משתמש מקומי עלול להצליח לקרוא זיכרון ליבה

תיאור: הייתה בעיה של קריאה מחוץ לתחום שהובילה לחשיפת זיכרון ליבה. הבעיה טופלה באמצעות אימות קלט משופר.

CVE-2017-13817: מקסים וילארד (m00nbsd)

הערך נוסף ב-31 באוקטובר 2017

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-13818: ‏National Cyber Security Centre ‏(NCSC) של בריטניה

CVE-2017-13836: ולאד צירקלביץ'

CVE-2017-13841: ולאד צירקלביץ'

CVE-2017-13840: ולאד צירקלביץ'

CVE-2017-13842: ולאד צירקלביץ'

CVE-2017-13782: ‏קווין בקהאוס מ-Semmle Ltd.‎

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-18 ביוני 2018

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13843: חוקר אנונימי, חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13854: ‏shrek_wzw מ-Qihoo 360 Nirvan Team

הערך נוסף ב-2 בנובמבר 2017

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ Mach בינארי בעל מבנה פגום עלול להוביל לביצוע קוד שרירותי

תיאור: בעיית השחתת זיכרון טופלה באמצעות שיפור האימות.

CVE-2017-13834: מקסים וילארד (m00nbsd)

הערך נוסף ב-10 בנובמבר 2017

ליבה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שאפליקציה זדונית תוכל ללמוד מידע על קיומן ואופן הפעלתן של אפליקציות אחרות במכשיר.

תיאור: אפליקציה הצליחה לגשת למידע על פעילות רשת שנשמר ללא הגבלות על ידי מערכת ההפעלה. הבעיה טופלה על ידי צמצום המידע הזמין לאפליקציות של צד שלישי.

CVE-2017-13873: שיאו-קואן ז'נג ויין-צ'יאן ז'נג מאוניברסיטת אוהיו סטייט, שואה-צ'יאנג וואנג ושיאו-פנג וואנג מאוניברסיטת אינדיאנה בלומינגטון ושיאו-לונג באי מאוניברסיטת צינגהואה

הערך נוסף ב-30 בנובמבר 2017

כלי kext

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: שגיאה לוגית בטעינת kext טופלה באמצעות ניהול מצבים משופר.

CVE-2017-13827: חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017

libarchive

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: פירוק קובץ ארכיון בעל מבנה זדוני עלול להוביל לביצוע קוד שרירותי

תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13813: התגלה על-ידי OSS-Fuzz

CVE-2017-13816: התגלה על-ידי OSS-Fuzz

הערך נוסף ב-31 באוקטובר 2017

libarchive

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: פירוק קובץ ארכיון בעל מבנה זדוני עלול להוביל לביצוע קוד שרירותי

תיאור: מספר בעיות של זיכרון פגום היו קיימות ב-libarchive. בעיות אלה טופלו באמצעות אימות קלט משופר.

CVE-2017-13812: התגלה על-ידי OSS-Fuzz

הערך נוסף ב-31 באוקטובר 2017

libarchive

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2016-4736: חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017

libc

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף מרחוק יצליח לגרום מניעת שירות

תיאור: בעיה של מיצוי משאבים ב-glob()‎ טופלה באמצעות אלגוריתם משופר.

CVE-2017-7086: ראס קוקס מ-Google

libc

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה לגרום מניעת שירות

תיאור: בעיית צריכת זיכרון נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2017-1000373

libexpat

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-expat

תיאור: מספר בעיות טופלו באמצעות עדכון לגרסה 2.2.1

CVE-2016-9063

CVE-2017-9233

libxml2

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ XML בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: גישה לערך מצביע Null טופלה באמצעות שיפור האימות.

CVE-2018-4302: גוסטבו גרייקו

הערך נוסף ב-18 באוקטובר 2018

libxml2

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ XML בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-5130: חוקר אנונימי

CVE-2017-7376: חוקר אנונימי

הערך נוסף ב-18 באוקטובר 2018

libxml2

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ XML בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.

CVE-2017-9050: מתיאוש יורצ'יק (j00ru) מ-Google Project Zero

הערך נוסף ב-18 באוקטובר 2018

libxml2

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: עיבוד קובץ XML בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: בעיית שימוש לאחר שחרור טופלה באמצעות שיפור ניהול הזיכרון.

CVE-2017-9049: וויי ליי וליו יאנג - האוניברסיטה הטכנולוגית נאניאנג בסינגפור

הערך נוסף ב-18 באוקטובר 2018

דואר

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן ששולח הדוא"ל יוכל לקבוע את כתובת ה-IP של הנמען

תיאור: הפעלת התכונה 'טען תוכן מרוחק בהודעות' לא חלה על כל תיבות הדואר. בעיה זו טופלה באמצעות הפצה משופרת של הגדרות.

CVE-2017-7141: ג'ון ווייטהד מה-New York Times

הערך עודכן ב-3 באוקטובר 2017

טיוטות דוא"ל

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף במיקום מורשה ברשת יצליח ליירט תכנים של הודעות דוא"ל

תיאור: בטיפול בטיוטות של הודעות דוא"ל הייתה בעיית הצפנה. הבעיה טופלה באמצעות טיפול משופר בטיוטות של הודעות דוא"ל שנועדו להישלח מוצפנות.

CVE-2017-7078: פיטר פלינק, פייר אלבארדה ממארסיי (צרפת), חוקר אנונימי

הערך עודכן ב-3 באוקטובר 2017

ntp

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-ntp

תיאור: מספר בעיות טופלו באמצעות עדכון לגרסה 4.2.8p10

CVE-2017-6451: ‏Cure53 

CVE-2017-6452: ‏Cure53 

CVE-2017-6455: ‏Cure53 

CVE-2017-6458: ‏Cure53 

CVE-2017-6459: ‏Cure53 

CVE-2017-6460: ‏Cure53 

CVE-2017-6462: ‏Cure53 

CVE-2017-6463: ‏Cure53 

CVE-2017-6464: ‏Cure53

CVE-2016-9042: מתיו ואן גנדי מ-Cisco

ארכיטקטורת Scripting פתוחה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ביטול הידור של AppleScript באמצעות osadecompile להוביל לביצוע קוד שרירותי

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13824: חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017

PCRE

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-pcre

תיאור: מספר תקלות תוקנו באמצעות עדכון לגרסה 8.40.

CVE-2017-13846

הערך נוסף ב-31 באוקטובר 2017

Postfix

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-Postfix

תיאור: מספר בעיות טופלו באמצעות עדכון לגרסה 3.2.2.

CVE-2017-10140: חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-17 בנובמבר 2017

מבט מהיר

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-13822: המרכז האוסטרלי לאבטחת סייבר – מינהל האותות האוסטרלי

הערך נוסף ב-31 באוקטובר 2017

מבט מהיר

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ניתוח מסמך Office בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי

תיאור: בעיית צריכת זיכרון נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2017-7132: המרכז האוסטרלי לאבטחת סייבר – מינהל האותות האוסטרלי

הערך נוסף ב-31 באוקטובר 2017

QuickTime

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח לקרוא זיכרון מוגבל

תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.

CVE-2017-13823: שיאנג-קון ג'יה מהמכון לחקר תוכנה באקדמיה למדעים של סין

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

ניהול מרחוק

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13808: חוקר אנונימי

הערך נוסף ב-31 באוקטובר 2017

Sandbox

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-13838: אליסטייר האוטון

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

נעילת מסך

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שהודעות מחומת האש של אפליקציות יופיעו על גבי חלון ההתחברות

תיאור: בעייה בניהול חלונות טופלה באמצעות ניהול מצבים משופר.

CVE-2017-7082: טים קינגמן

אבטחה

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אישור שבוטל עלול להיחשב כמהימן

תיאור: בטיפול בנתוני ביטול הייתה בעיית אימות אישורים. בעיה זו טופלה באמצעות שיפור האימות.

CVE-2017-7080: סוון דרימקר מ-adesso mobile solutions gmbh, רונה דארוד (‎@theflyingcorpse) מ-Bærum kommune, חוקר אנונימי, חוקר אנונימי

SMB

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שתוקף מקומי יצליח להפעיל קובצי טקסט שאינם מיועדים להפעלה באמצעות שיתוף SMB

תיאור: בעיה בטיפול בהרשאות קובץ טופלה באמצעות אימות משופר.

CVE-2017-13908: חוקר אנונימי

הערך נוסף ב-18 באוקטובר 2018

Spotlight

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: Spotlight עלול להציג תוצאות של קבצים שלא שייכים למשתמש

תיאור: בעיית גישה הייתה קיימת ב-Spotlight. בעיה זו טופלה באמצעות שיפור ההגבלות על הגישה.

CVE-2017-13839: קן האריס מ-Free Robot Collective

הערך נוסף ב-31 באוקטובר 2017, עודכן ב-10 בנובמבר 2017

Spotlight

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: ייתכן שאפליקציה תצליח לגשת לקבצים מוגבלים

תיאור: בעיית גישה טופלה באמצעות הגבלות 'ארגז חול' נוספות על אפליקציות.

CVE-2017-13910

הערך נוסף ב-18 באוקטובר 2018

SQLite

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-SQLite

תיאור: מספר בעיות טופלו באמצעות עדכון לגרסה 3.19.3.

CVE-2017-10989: התגלה על-ידי OSS-Fuzz

CVE-2017-7128: התגלה על-ידי OSS-Fuzz

CVE-2017-7129: התגלה על-ידי OSS-Fuzz

CVE-2017-7130: התגלה על-ידי OSS-Fuzz

SQLite

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת

תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.

CVE-2017-7127: חוקר אנונימי

zlib

זמין עבור: OS X Mountain Lion 10.8 ואילך

השפעה: מספר בעיות ב-zlib

תיאור: מספר בעיות טופלו באמצעות עדכון לגרסה 1.2.11.

CVE-2016-9840

CVE-2016-9841

CVE-2016-9842

CVE-2016-9843

תודות נוספות

דואר

אנחנו מבקשים להודות לג'ון בוטאריני מ-HackerOne על הסיוע.

הערך נוסף ב-6 בפברואר 2020

אבטחה

אנחנו מבקשים להודות לאבהינאב באנסל מ-Zscaler, Inc.‎ על הסיוע.

NSWindow

אנחנו מבקשים להודות לטרנט אפטד מצוות Google Chrome על הסיוע.

WebKit Web Inspector

אנחנו מבקשים להודות ליואן ביזאו מ-Bloggify על הסיוע.

עדכון משלים של macOS High Sierra 10.13

הורדות חדשות של macOS High Sierra 10.13 כוללות את תוכן האבטחה של העדכון משלים של macOS High Sierra 10.13.

מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.

תאריך פרסום: