אודות תוכן האבטחה של macOS Monterey 12.0.1
מסמך זה מתאר את תוכן האבטחה של macOS Monterey 12.0.1.
אודות עדכוני אבטחה של Apple
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת וגרסאות או רכיבי Patch יהיו זמינים. הגרסאות העדכניות רשומות בדף עדכוני אבטחה של Apple.
מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID, כאשר הדבר ניתן.
למידע נוסף בנושא אבטחה, עיינו בדף אבטחת מוצרי Apple.
macOS Monterey 12.0.1
AppKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום זדוני עלול להצליח להשיג הרשאות ברמה גבוהה יותר
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30873: תייס אלקמדה מ-Computest
AppleScript
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד של AppleScript בינארי בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של יישום או לחשיפת זיכרון התהליך
תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2021-30876: ג'רמי בראון, hjy79425575
CVE-2021-30879: ג'רמי בראון, hjy79425575
CVE-2021-30877: ג'רמי בראון
CVE-2021-30880: ג'רמי בראון
App Store
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה לגשת למזהי Apple ID של משתמשים מקומיים
תיאור: בעיית גישה טופלה באמצעות הגבלות גישה משופרות.
CVE-2021-30994: סרגיי קריבובלוצקי מ-MacPaw Inc.
Audio
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום זדוני עלול להצליח להשיג הרשאות ברמה גבוהה יותר
תיאור: גלישה נומרית טופלה באמצעות אימות קלט משופר.
CVE-2021-30907: צווייג מ-Kunlun Lab
Bluetooth
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: מצב מירוץ טופל באמצעות טיפול משופר במצבים.
CVE-2021-30899: ווייטנג צ'ן, ז'נג ז'אנג וז'י-יון קיאן מאוניברסיטת קליפורניה בריברסייד, וכן יו וואנג מ-Didi Research America
Bluetooth
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום זדוני עלול לחשוף את זיכרון הליבה
תיאור: בעיית לוגיקה טופלה באמצעות אימות משופר.
CVE-2021-30931: ווייטנג צ'ן, ז'נג ז'אנג וז'י-יון קיאן מאוניברסיטת קליפורניה בריברסייד, וכן יו וואנג מ-Didi Research America
bootp
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: מכשיר עלול להיות במעקב פאסיבי לפי כתובת ה-MAC האלחוטית שלו
תיאור: בעיית פרטיות משתמש טופלה על ידי הסרת כתובת ה-MAC המשודרת.
CVE-2021-30866: פביאן דושן מ-UCLouvain (בלגיה)
ColorSync
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תמונה בעלת מבנה זדוני עלול להוביל לביצוע קוד שרירותי
תיאור: הייתה בעיה של השחתת זיכרון בעיבוד פרופילים של ICC. בעיה זו טופלה באמצעות אימות קלט משופר.
CVE-2021-30917: אלכסנדרו-ולאד ניקולאה ומטאוש ג'ורציק מ‑Google Project Zero
Continuity Camera
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תוקף מקומי עלול לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: בעיה של מחרוזת תבנית בלתי מבוקרת טופלה באמצעות אימות קלט משופר.
CVE-2021-30903: חוקר אנונימי
CoreAudio
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד קובץ זדוני עלול לחשוף את פרטי המשתמש
תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2021-30905: מיקי ג'ין (@patch1t) מ-Trend Micro
CoreGraphics
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד מסמך PDF בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: כתיבה מחוץ לטווח טופלה באמצעות אימות קלט משופר.
CVE-2021-30919
Directory Utility
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה לגשת למזהי Apple ID של משתמשים מקומיים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2020-9846: וויצ'ך רגולה (@_r3ggi)
FileProvider
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: פירוק ארכיון בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית אימות קלט טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30881: סימון הואנג (@HuangShaomang) ו-pjf מ-IceSword Lab ב-Qihoo 360
File System
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: מצב מירוץ טופל באמצעות נעילה משופרת.
CVE-2021-30923: פאן ז'ן-פנג (@Peterpan0927) מ-Alibaba Security
FontParser
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד של גופן בעל מבנה זדוני עלול לגרום לחשיפה של זיכרון התהליך
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2021-30831: שינגווי לין מ-Ant Security Light-Year Lab
FontParser
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד קובץ dfont בעל מבנה זדוני עלול להוביל להפעלה של קוד שרירותי
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2021-30840: שינגווי לין מ-Ant Security Light-Year Lab
Foundation
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30852: יין-יי וו (@3ndy1) מ-Ant Security Light-Year Lab
Game Center
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לגשת למידע על אנשי הקשר של המשתמש
תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.
CVE-2021-30895: דניס טוקארב
Game Center
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לקרוא את נתוני המשחק של המשתמש
תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.
CVE-2021-30896: דניס טוקארב
Graphics Drivers
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: מצב מירוץ טופל באמצעות טיפול משופר במצבים.
CVE-2021-30933: ג'ק דייטס מ-RET2 Systems, Inc.
iCloud
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תוקף מקומי עלול להצליח להשיג הרשאות ברמה גבוהה יותר
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2021-30906: קייס אלזינחה
iCloud Photo Library
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לגשת למטא-נתונים של תמונות ללא צורך בהרשאת גישה לתמונות
תיאור: הבעיה טופלה באמצעות אימות משופר.
CVE-2021-30867: סאבה פיצל (@theevilbit) מ-Offensive Security
ImageIO
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תמונה בעלת מבנה זדוני עלול להוביל לביצוע קוד שרירותי
תיאור: בעיה של השחתת זיכרון טופלה באמצעות אימות קלט משופר.
CVE-2021-30814: hjy79425575
Intel Graphics Driver
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיות מרובות של כתיבה מחוץ לטווח טופלו באמצעות בדיקת טווח משופרת.
CVE-2021-30922: ג'ק דייטס מ-.RET2 Systems, Inc, יין-יי וו (@3ndy1)
Intel Graphics Driver
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30824: אנטוניו זקיץ' (@antoniozekic) מ-Diverto
Intel Graphics Driver
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיות מרובות של כתיבה מחוץ לטווח טופלו באמצעות בדיקת טווח משופרת.
CVE-2021-30901: זואוז'י פאן (@pattern_F_) מ-Ant Security TianQiong Lab, יין-יי וו (@3ndy1) מ-Ant Security Light-Year Lab, ג'ק דייטס מ-RET2 Systems, Inc.
IOGraphics
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30821: טים מישו (@TimGMichaud) מ-Zoom Video Communications
IOMobileFrameBuffer
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30883: חוקר אנונימי
Kernel
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תוקף מרוחק יכול לגרום להפעלה מחדש של מכשיר באופן בלתי צפוי
תיאור: בעיית מניעת שירות טופלה באמצעות טיפול משופר במצב.
CVE-2021-30924: אלאמן איסקאקוב (@darling_x0r) מ‑Effective ואלכסיי קטקוב (@watman27)
Kernel
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית שימוש לאחר שחרור טופלה באמצעות שיפור ניהול הזיכרון.
CVE-2021-30886: @0xalsr
Kernel
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30909: צווייג מ-Kunlun Lab
Kernel
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30916: צווייג מ-Kunlun Lab
LaunchServices
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תהליך בשלב 'ארגז החול' עלול להצליח לעקוף את ההגבלות של 'ארגז החול'
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30864: רון האס (@ronhass7) מ-Perception Point
Login Window
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אדם עם גישה ל-Mac מארח עלול להצליח לעקוף את חלון ההתחברות ב-Remote Desktop עבור מופע נעול של macOS
תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.
CVE-2021-30813: בנג'מין ברגר מ-BBetterTech LLC, פיטר גוטקינט מ-Informatique-MTF S.A., חוקר אנונימי
Managed Configuration
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: משתמש במיקום רשת מורשה עלול להצליח להדליף מידע רגיש של משתמשים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-31011: מיכל מוראבץ מ-.Logicworks, s.r.o
Messages
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: ייתכן שההודעות של משתמש ימשיכו להסתנכרן לאחר שהמשתמש התנתק מ-iMessage
תיאור: בעיית סינכרון טופלה באמצעות אימות מצבים משופר.
CVE-2021-30904: ריד מסק מ-IBM
Model I/O
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד קובץ זדוני עלול לחשוף את פרטי המשתמש
תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2021-30910: מיקי ג'ין (@patch1t) מ-Trend Micro
Model I/O
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד קובץ USD בעל מבנה זדוני עלול לחשוף תוכן של הזיכרון
תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2021-30911: רוי יאנג ושינגווי לין מAnt Security Light-Year Lab
NetworkExtension
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה עלולה להתקין תצורת VPN ללא הרשאת המשתמש
תיאור: בעיית אישור טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30874: חאווייר ויירה בוקארדו (linkedin.com/javier-vieira-boccardo)
Sandbox
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2021-30808: סאבה פיצל (@theevilbit) מ-Offensive Security
Sandbox
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תוקף מקומי עלול להצליח לקרוא מידע רגיש
תיאור: בעיית הרשאות טופלה באמצעות אימות משופר.
CVE-2021-30920: סאבה פיצל (@theevilbit) מ-Offensive Security
Security
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום עלול לקבל הרשאות ברמה גבוהה יותר
תיאור: מצב מירוץ טופל באמצעות נעילה משופרת.
CVE-2021-31004: סאבה פיצל (@theevilbit) מ-Offensive Security
SMB
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות מערכת
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2021-31002: פיטר נוין וו הואנג מ-STAR Labs
SMB
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: מצב מירוץ טופל באמצעות נעילה משופרת.
CVE-2021-30868: פיטר נגויין וו הואנג מ‑STAR Labs
SoftwareUpdate
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום זדוני עלול להשיג גישה לפריטי 'צרור מפתחות' של משתמש
תיאור: הבעיה טופלה באמצעות שיפור הלוגיקה של ההרשאות.
CVE-2021-30912: קירין (@Pwnrin) וצ'ן-יו וואנג (@mzzzz__) מ-Tencent Security Xuanwu Lab
SoftwareUpdate
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: יישום ללא הרשאות עלול להצליח לערוך משתנים של NVRAM
תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.
CVE-2021-30913: קירין (@Pwnrin) וצ'ן-יו וואנג (@mzzzz__) מ-Tencent Security Xuanwu Lab
UIKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אדם עם גישה פיזית למכשיר עלול לקבוע את מאפייני סיסמת המשתמש בשדה הזנת טקסט מאובטח
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30915: קוסטס אנגלופולוס
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: כיבוי 'חסימת כל התוכן המרוחק' עשוי לא לחול על כל סוגי התוכן המרוחק
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-31005: ג'ונתן אוסטין מ-Wells Fargo, אטילה סוקי
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד
תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-31008
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אתר אינטרנט זדוני עלול לחלץ מקורות מרובים של נתונים
תיאור: בעיה התקיימה במפרט עבור ה-API של תזמון המשאבים. המפרט התעדכן והמפרט המעודכן יושם.
CVE-2021-30897: חוקר אנונימי
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: ביקור באתר אינטרנט בעל מבנה זדוני עלול לחשוף את היסטוריית הגלישה באינטרנט של המשתמש
תיאור: הבעיה נפתרה באמצעות הגבלות נוספות על הרכבת CSS.
CVE-2021-30884: חוקר אנונימי
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר במצב.
CVE-2021-30818: אמאר מנזס (@amarekano) מ-Zon8Research
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד קובץ שמע בעל מבנה זדוני עלול לחשוף זיכרון מוגבל
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2021-30836: פיטר נויין וו הואנג מ-STAR Labs
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30846: סרגיי גלזונוב מ-Google Project Zero
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: מספר בעיות של השחתת זיכרון טופלו באמצעות טיפול טוב יותר בזיכרון.
CVE-2021-30849: סרגיי גלזונוב מ-Google Project Zero
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד
תיאור: בעיית השחתת זיכרון טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30848: סרגיי גלזונוב מ-Google Project Zero
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד
תיאור: נקודת תורפה של השחתת זיכרון טופלה באמצעות נעילה משופרת.
CVE-2021-30851: סמואל גרוס מ-Google Project Zero
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית שימוש לאחר שחרור טופלה באמצעות שיפור ניהול הזיכרון.
CVE-2021-30809: חוקר אנונימי
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: ייתכן שתוקף במיקום מורשה ברשת יוכל לעקוף את HSTS
תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.
CVE-2021-30823: דיוויד גולאש מ-Recurity Labs
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל למדיניות אבטחת תוכן לא כפויה באופן בלתי צפוי
תיאור: בעיית לוגיקה טופלה באמצעות הגבלות משופרות.
CVE-2021-30887: נרנדרה בהאטי (@imnarendrabhati) מ‑Suma Soft Pvt. Ltd.
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אתר זדוני המשתמש בדיווחי 'מדיניות אבטחת תוכן' עלול להיות מסוגל להדליף מידע באמצעות אופן פעולה של ניתוב מחדש
תיאור: בעיית דליפת מידע טופלה.
CVE-2021-30888: פראקאש (@1lastBr3ath)
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.
CVE-2021-30889: צ'יג'ין ז'ואו מ‑ShuiMuYuLin Ltd ו‑Tsinghua wingtecher lab
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לעקוף את הבדיקות של Gatekeeper
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30861: ווצ'יץ' רגולה (@_r3ggi), ראיין פיקרן (ryanpickren.com)
WebKit
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: עיבוד תוכן אינטרנטי בעל מבנה זדוני עלול לגרום ל-Scripting אוניברסלי בין אתרים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30890: חוקר אנונימי
WebRTC
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: ייתכן שתוקף יוכל לעקוב אחר משתמשים באמצעות כתובת ה-IP שלהם
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30930: אוגוז קיראט, מתיאס קלר (m-keller.com)
Windows Server
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: תוקף מקומי עלול להצליח לצפות במכתבה של המשתמש הקודם שהיה מחובר מהמסך 'מעבר מהיר בין משתמשים'
תיאור: בעיית אימות טופלה באמצעות ניהול מצבים משופר.
CVE-2021-30908: ASentientBot
xar
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: פירוק ארכיון בעל מבנה זדוני עלול לאפשר לתוקף לכתוב קבצים שרירותיים
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2021-30833: ריצ'רד וורן מ-NCC Group
zsh
זמין עבור: Mac Pro (2013 ואילך), MacBook Air (תחילת 2015 ואילך), MacBook Pro (תחילת 2015 ואילך), Mac mini (סוף 2014 ואילך), iMac (סוף 2015 ואילך), MacBook (תחילת 2016 ואילך), iMac Pro (2017 ואילך)
השפעה: אפליקציה זדונית עלולה להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיית הרשאות העוברות בירושה טופלה באמצעות הגבלות נוספות.
CVE-2021-30892: יונתן בר אור מ-Microsoft
תודות נוספות
APFS
אנחנו מבקשים להודות לקו מ' נאקגוואה מ-FFRI Security, Inc. על הסיוע.
AppleScript
אנחנו מבקשים להודות לג'רמי בראון על הסיוע.
App Support
אנחנו מבקשים להודות לחוקר אנונימי, 漂亮鼠 מ-赛博回忆录 על הסיוע.
Bluetooth
אנחנו מבקשים להודות ל-say2 מ-ENKI על הסיוע.
bootp
אנו מבקשים להודות לאלכסנדר בורק (alexburke.ca) על הסיוע.
CUPS
אנחנו מבקשים להודות לניית'ן ניי מ-WhiteBeam Security על הסיוע.
iCloud
אנחנו מבקשים להודות לראיין פיקרן (ryanpickren.com) על הסיוע.
Kernel
אנחנו מבקשים להודות לאנתוני סטיינהאוזר מפרויקט Safeside של Google, ולג'ושוע באמוס מ-Informatik Baums על הסיוע.
אנחנו מבקשים להודות לפביאן איסינג ודמיאן פודבניאק מ‑Münster University of Applied Sciences על הסיוע.
Managed Configuration
אנחנו מבקשים להודות למייקל מוראבץ מ-Logicworks, s.r.o. על הסיוע.
Setup Assistant
אנחנו מבקשים להודות לדיוויד שוץ (@xdavidhu) על הסיוע.
smbx
אנחנו מבקשים להודות לז'ונגצ'נג לי (CK01) על הסיוע.
UIKit
אנחנו מבקשים להודות לג'ייסון רנדל מ-Diligent על הסיוע.
WebKit
ברצוננו להודות לאיבן פרטריק מ-Google Project Zero, לפאבל גרומדצ'וק, לניכיל מיטל (@c0d3G33k), ולמתיאס קלר (m-keller.com) על הסיוע.
מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.