אודות עדכוני אבטחה של Apple
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת וגרסאות או רכיבי Patch יהיו זמינים. גרסאות עדכניות רשומות בדף עדכוני אבטחה של Apple.
מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID, כאשר הדבר ניתן.
למידע נוסף אודות אבטחה, עיינו בדף אבטחת מוצרי Apple.
macOS Mojave 10.14.6, עדכון האבטחה 2019-004 High Sierra, עדכון האבטחה 2019-004 Sierra
הופץ ב-22 ביולי 2019
AppleGraphicsControl
זמין עבור: macOS Mojave 10.14.5
השפעה: יישום עלול להצליח לקרוא זיכרון מוגבל
תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.
CVE-2019-8693: אראש טוהידי מ-Solita
autofs
זמין עבור: macOS Sierra 10.12.6, macOS Mojave 10.14.5, macOS High Sierra 10.13.6
השפעה: פתיחת קובץ zip הכולל קישור סימלי לנקודת קצה בטעינת NFS הנשלטת על-ידי תוקף עלולה לעקוף את Gatekeeper
תיאור: בעיה זו טופלה באמצעות בדיקות נוספות על-ידי Gatekeeper בקבצים שנטענו דרך שיתוף רשת.
CVE-2019-8656: פיליפו קוואלרין
Bluetooth
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להפעיל קוד שרירותי
תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.
CVE-2018-19860
Bluetooth
זמין עבור: macOS Sierra 10.12.6, macOS Mojave 10.14.5, macOS High Sierra 10.13.6
השפעה: תוקף במיקום מורשה ברשת עלול להצליח ליירט תעבורת Bluetooth (טיפול במפתחות של Bluetooth - KNOB)
תיאור: ב-Bluetooth הייתה בעיית אימות קלט. בעיה זו טופלה באמצעות אימות קלט משופר.
CVE-2019-9506: דניאל אנטוניולי מ-SUTD, סינגפור, ד"ר נילס אולה טיפנהאואר מ-CISPA, גרמניה, ופרופ' קספר רסמוסן מאוניברסיטת אוקספורד, אנגליה
השינויים עבור בעיה זו פותרים את CVE-2020-10135.
הערך נוסף ב-13 באוגוסט 2019, עודכן ב-25 ביוני 2020
Carbon Core
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להפעיל קוד שרירותי
תיאור: בעיית שימוש לאחר שחרור טופלה באמצעות שיפור ניהול הזיכרון.
CVE-2019-8661: נטאשנקה מ-Google Project Zero
נתוני ליבה
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להדליף זיכרון
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2019-8646: נטאשנקה מ-Google Project Zero
נתוני ליבה
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עשוי לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.
CVE-2019-8660: סמואל גרוס ונטאשנקה מ-Google Project Zero
CUPS
זמין עבור: macOS Sierra 10.12.6, macOS Mojave 10.14.5, macOS High Sierra 10.13.6
השפעה: תוקף במיקום מורשה ברשת עלול להצליח להפעיל קוד שרירותי
תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8675: סטפן זייסברג (github.com/stze) מ-Security Research Labs (srlabs.de)
CVE-2019-8696: סטפן זייסברג (github.com/stze) מ-Security Research Labs (srlabs.de)
הערך נוסף ב-14 באוגוסט 2019, עודכן ב-17 בספטמבר 2019
ניהול כוננים
זמין עבור: macOS Mojave 10.14.5
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: בעיית אתחול זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8539: ccpwd בעבודה עם Zero Day Initiative של Trend Micro
הרשומה נוספה ב-17 בספטמבר 2019
ניהול כוננים
זמין עבור: macOS Mojave 10.14.5
השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8697: ccpwd בעבודה עם Zero Day Initiative של Trend Micro
FaceTime
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להפעיל קוד שרירותי
תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.
CVE-2019-8648: טאו הואנג וטייליי וונג מ-Team Pangu
נמצא באפליקציות
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להדליף זיכרון
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2019-8663: נטאשנקה מ-Google Project Zero
Game Center
זמין עבור: macOS Mojave 10.14.5
השפעה: משתמש מקומי עלול להצליח לקרוא מזהה חשבון מתמיד
תיאור: בעיה זו טופלה באמצעות זכאות חדשה.
CVE-2019-8702: מין (ספארק) ז'נג ושיאולונג באי מ-Alibaba Inc.
הערך נוסף ב-24 בפברואר 2020
Grapher
זמין עבור: macOS Mojave 10.14.5
השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8695: riusksk מ-VulWar Corp בעבודה עם Zero Day Initiative של Trend Micro
מנהלי התקנים גרפיים
זמין עבור: macOS Mojave 10.14.5, macOS High Sierra 10.13.6
השפעה: יישום עלול להצליח לקרוא זיכרון מוגבל
תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.
CVE-2019-8691: אלכסנדר טרסיקוב (@astarasikov), אראש טוהידי מ-Solita, לילנג וו ומוני לי מ-Mobile Security Research Team של Trend Micro בעבודה עם Zero Day Initiative של Trend Micro
CVE-2019-8692: לילנג וו ומוני לי מ-Trend Micro Mobile Security Research Team בעבודה עם Zero Day Initiative של Trend Micro
הערך עודכן ב-25 ביולי 2019
Heimdal
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5
השפעה: בעיה שהייתה ב-Samba אפשרה לתוקפים לבצע פעולות לא מורשות על-ידי יירוט תקשורת בין שירותים
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות למניעת פעולות לא מורשות.
CVE-2018-16860: אייזק בוקריס ואנדרו ברטלט מ-Samba Team ו-Catalyst
IOAcceleratorFamily
זמין עבור: macOS Mojave 10.14.5
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8694: אראש טוהידי מ-Solita
libxslt
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5
השפעה: תוקף מרחוק עלול להצליח להציג מידע רגיש
תיאור: גלישת מחסנית טופלה בעזרת אימות קלט משופר.
CVE-2019-13118: התגלה על-ידי OSS-Fuzz
מבט מהיר
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5
השפעה: תוקף עלול להצליח להפעיל שימוש לאחר שחרור באפליקציה המבצעת ביטול עריכה של NSDictionary לא מהימן
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2019-8662: נטאשנקה וסמואל גרוס מ-Google Project Zero
Safari
זמין עבור: macOS Mojave 10.14.5
השפעה: ביקור באתר זדוני עשוי לגרום לזיוף שורת הכתובות
תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצבים משופר.
CVE-2019-8670: טסובסה פוג'י (@reinforchu)
אבטחה
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8697: ccpwd בעבודה עם Zero Day Initiative של Trend Micro
sips
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
השפעה: אפליקציה עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2019-8701: סימון הואנג (@HuangShaomang), רונג פן (@fanrong1992) ו-pjf מ-IceSword Lab ב-Qihoo 360
הערך נוסף ב-8 באוקטובר 2019
Siri
זמין עבור: macOS Mojave 10.14.5
השפעה: תוקף מרוחק עלול להצליח להדליף זיכרון
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2019-8646: נטאשנקה מ-Google Project Zero
Time Machine
זמין עבור: macOS Mojave 10.14.5
השפעה: מצב ההצפנה של גיבוי Time Machine עשוי להיות לא נכון
תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצבים משופר.
CVE-2019-8667: רולנד קלצינג מ-cyber:con GmbH
UIFoundation
זמין עבור: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.5
השפעה: ניתוח מסמך Office בעל מבנה זדוני עלול להוביל לסיום לא צפוי של אפליקציה או לביצוע קוד שרירותי
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2019-8657: riusksk מ-VulWar Corp בעבודה עם Zero Day Initiative של Trend Micro
WebKit
זמין עבור: macOS Mojave 10.14.5
השפעה: עיבוד תוכן אינטרנטי בעל מבנה זדוני עלול לגרום ל-Scripting אוניברסלי בין אתרים
תיאור: בטיפול בעומסי מסמכים הייתה בעיה לוגית. בעיה זו טופלה באמצעות ניהול מצב משופר.
CVE-2019-8690: סרגיי גלזונוב מ-Google Project Zero
WebKit
זמין עבור: macOS Mojave 10.14.5
השפעה: עיבוד תוכן אינטרנטי בעל מבנה זדוני עלול לגרום ל-Scripting אוניברסלי בין אתרים
תיאור: בעיה לוגית שהייתה קיימת בטיפול בעומסי דפים סינכרוניים. בעיה זו טופלה באמצעות ניהול מצב משופר.
CVE-2019-8649: סרגיי גלזונוב מ-Google Project Zero
WebKit
זמין עבור: macOS Mojave 10.14.5
השפעה: עיבוד תוכן אינטרנטי בעל מבנה זדוני עלול לגרום ל-Scripting אוניברסלי בין אתרים
תיאור: בעיה לוגית טופלה באמצעות ניהול מצבים משופר.
CVE-2019-8658: akayn בעבודה עם Zero Day Initiative של Trend Micro
WebKit
זמין עבור: macOS Mojave 10.14.5
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: מספר בעיות של השחתת זיכרון טופלו באמצעות טיפול טוב יותר בזיכרון.
CVE-2019-8644: ג. גשב בעבודה עם Zero Day Initiative של Trend Micro
CVE-2019-8666: זונגמינג וונג (王宗明) וג'ה ג'ין (金哲) מ-Chengdu Security Response Center ב-Qihoo 360 Technology Co. Ltd..
CVE-2019-8669: akayn בעבודה עם Zero Day Initiative של Trend Micro
CVE-2019-8671: Apple
CVE-2019-8672: סמואל גרוס מ-Google Project Zero
CVE-2019-8673: סוייאון פארק ו-וון שו מ-SSLab במכון הטכנולוגי של ג'ורג'יה
CVE-2019-8676: סויאון פארק ו-וון שו מ-SSLab במכון הטכנולוגי של ג'ורג'יה
CVE-2019-8677: ג'י-חוי לו מ-Tencent KeenLab
CVE-2019-8678: חוקר אנונימי, אנתוני לאי (@darkfloyd1014) מ-Knownsec, קן וונג (@wwkenwong) מ-VXRL, ג'אונגהון שין (@singi21a) מ-Theori, ג'וני יו (@straight_blast) מ-VX Browser Exploitation Group, כריס צ'אן (@dr4g0nfl4me) מ-VX Browser Exploitation Group, פיל מוק (@shadyhamsters) מ-VX Browser Exploitation Group, אלן הו (@alan_h0) מ-Knownsec, ביירון וואי מ-VX Browser Exploitation
CVE-2019-8679: ג'י-חוי לו מ-Tencent KeenLab
CVE-2019-8680: ג'י-חוי לו מ-Tencent KeenLab
CVE-2019-8681: ג. גשב בעבודה עם Zero Day Initiative של Trend Micro
CVE-2019-8683: lokihardt מ-Google Project Zero
CVE-2019-8684: lokihardt מ-Google Project Zero
CVE-2019-8685: akayn, דונגג'ו ג'או בעבודה עם ADLab ב-Venustech, קן וונג (@wwkenwong) מ-VXRL, אנתוני לאי (@darkfloyd1014) מ-VXRL ואריק לונג (@Khlung1) מ-VXRL
CVE-2019-8686: ג. גשב בעבודה עם Zero Day Initiative של Trend Micro
CVE-2019-8687: Apple
CVE-2019-8688: אינסו יון מ-SSLab במכון הטכנולוגי של ג'ורג'יה
CVE-2019-8689: lokihardt מ-Google Project Zero
תודות נוספות
Classroom
אנחנו מבקשים להודות לג'ף גונסון מ-underpassapp.com על הסיוע.
Game Center
אנחנו מבקשים להודות למין (ספארק) ג'נג ולשיאולונג באי מ-Alibaba Inc. על הסיוע.