מידע על עדכוני אבטחה של Apple
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת ויש גרסאות חדשות או תיקונים זמינים. הגרסאות העדכניות רשומות בדף עדכוני אבטחה של Apple.
מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID כאשר הדבר ניתן.
למידע נוסף על אבטחה, עיינו בדף אבטחת מוצרי Apple.
macOS Ventura 13.4
הופץ ב-18 במאי 2023
Accessibility
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.
CVE-2023-32388: Kirin (@Pwnrin)
Accessibility
זמין עבור: macOS Ventura
השפעה: אפליקציה זדונית עלולה לעשות שימוש בזכויות ובהרשאות הפרטיות שהוענקו לאפליקציה זו
תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.
CVE-2023-32400: Mickey Jin (@patch1t)
Accounts
זמין עבור: macOS Ventura
השפעה: תוקף עשוי להצליח להדליף כתובות דוא"ל עם חשבונות משתמשים
תיאור: בעיית הרשאות טופלה באמצעות עריכה משופרת של מידע רגיש.
CVE-2023-34352: Sergii Kryvoblotskyi מ-MacPaw Inc.
הרשומה נוספה ב‑5 בספטמבר 2023
AMD
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.
CVE-2023-32379: ABC Research s.r.o.
הרשומה נוספה ב‑5 בספטמבר 2023
AppleMobileFileIntegrity
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיה זו טופלה באמצעות זכאויות משופרות.
CVE-2023-32411: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
זמין עבור: macOS Ventura
השפעה: יישום עלול להיות מסוגל להזריק קוד לתוך קבצים בינאריים רגישים שמאוגדים באמצעות Xcode
תיאור: בעיה זו טופלה על ידי אילוץ זמן ריצה קשיח על הקבצים הבינאריים המושפעים ברמת המערכת.
CVE-2023-32383: James Duffy (mangoSecure)
הרשומה נוספה ב‑21 בדצמבר 2023
Associated Domains
זמין עבור: macOS Ventura
השפעה: יישום עשוי להצליח לצאת מתוך ארגז החול
תיאור: הבעיה טופלה באמצעות בדיקות משופרות.
CVE-2023-32371: James Duffy (mangoSecure)
Contacts
זמין עבור: macOS Ventura
השפעה: ייתכן שיישום יוכל לצפות בנתוני משתמש לא מוגנים
תיאור: בעיית אבטחה טופלה באמצעות שיפור הטיפול בקבצים זמניים.
CVE-2023-32386: Kirin (@Pwnrin)
Core Location
זמין עבור: macOS Ventura
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרונות מטמון.
CVE-2023-32399: Adam M.
הרשומה עודכנה ב‑5 בספטמבר 2023
CoreServices
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיה זו טופלה על ידי עריכה משופרת של מידע רגיש.
CVE-2023-28191: Mickey Jin (@patch1t)
CUPS
זמין עבור: macOS Ventura
השפעה: משתמש לא מאומת עלול להצליח לגשת למסמכים שהודפסו לאחרונה
תיאור: בעיית אימות טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32360: Gerhard Muth
dcerpc
זמין עבור: macOS Ventura
השפעה: תוקף מרוחק עלול לגרום לסגירה בלתי צפויה של יישום או להפעלת קוד שרירותי
תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.
CVE-2023-32387: Dimitrios Tatsis מ-Cisco Talos
DesktopServices
זמין עבור: macOS Ventura
השפעה: יישום עשוי להצליח לצאת מתוך ארגז החול
תיאור: הבעיה טופלה באמצעות בדיקות משופרות.
CVE-2023-32414: מיקי ג'ין (@patch1t)
Face Gallery
זמין עבור: macOS Ventura
השפעה: תוקף עם גישה פיזית ל-Apple Watch נעול עלול להצליח להציג תמונות או אנשי קשר של משתמש דרך תכונות נגישות
תיאור: בעיה זו טופלה על ידי הגבלת האפשרויות המוצעות במכשיר נעול.
CVE-2023-32417: Zitong Wu (吴梓桐) מ-Zhuhai No.1 High School (珠海市第一中学)
הרשומה נוספה ב‑5 בספטמבר 2023
GeoServices
זמין עבור: macOS Ventura
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.
CVE-2023-32392: Adam M.
הרשומה עודכנה ב‑5 בספטמבר 2023
ImageIO
זמין עבור: macOS Ventura
השפעה: עיבוד של תמונה עלול לגרום לחשיפה של זיכרון תהליך
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2023-32372:Meysam Firouzi @R00tkitSMM מ-Mbition Mercedes-Benz Innovation Lab יחד עם Trend Micro Zero Day Initiative
הרשומה עודכנה ב‑5 בספטמבר 2023
ImageIO
זמין עבור: macOS Ventura
השפעה: עיבוד תמונה עלול לגרום להפעלת קוד שרירותי
תיאור: טופלה גלישת חוצץ ושופרה בדיקת חסמים.
CVE-2023-32384: Meysam Firouzi @R00tkitsmm עובד עם Trend Micro Zero Day Initiative
IOSurface
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח להדליף מצב ליבה רגיש
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2023-32410: hou xuewei (@p1ay8y3ar) vmk msu
IOSurfaceAccelerator
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לגרום לסגירה בלתי צפויה של המערכת או לקרוא זיכרון ליבה
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2023-324205: צוות CertiK SkyFall ו-Linus Henze מ-Pinauten GmbH (pinauten.de)
הרשומה עודכנה ב‑5 בספטמבר 2023
Kernel
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית בלבול בסוגים טופלה באמצעות בדיקות משופרות.
CVE-2023-27930: 08Tc3wBB מ-Jamf
Kernel
זמין עבור: macOS Ventura
השפעה: יישום בארגז חול עלול להצליח לצפות על חיבורי רשת ברחבי המערכת
תיאור: הבעיה טופלה באמצעות בדיקות הרשאות נוספות.
CVE-2023-27940: James Duffy (mangoSecure)
Kernel
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.
CVE-2023-32398: Adam Doupé מ-ASU SEFCOM
Kernel
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לקבל הרשאות בסיס
תיאור: מצב מירוץ טופל באמצעות טיפול משופר במצבים.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) מ-Synacktiv (@Synacktiv) עובד עם Trend Micro Zero Day Initiative
LaunchServices
זמין עבור: macOS Ventura
השפעה: יישום עלול לעקוף בדיקות של Gatekeeper
תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) מ-SecuRing (wojciechregula.blog)
libxml2
זמין עבור: macOS Ventura
השפעה: מספר בעיות ב-libxml2
תיאור: מספר בעיות של השחתת זיכרון טופלו באמצעות שיפור אימות הקלט.
CVE-2023-29469: OSS-Fuzz, Ned Williamson מ-Google Project Zero
CVE-2023-42869: OSS-Fuzz, Ned Williamson מ-Google Project Zero
הרשומה נוספה ב‑21 בדצמבר 2023
libxpc
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32369: ג'ונתן בר אור מ-Microsoft, אנורג בוהרה מ-Microsoft ומייקל פירס מ-Microsoft
libxpc
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לקבל הרשאות בסיס
תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.
CVE-2023-32405: Thijs Alkemade (@xnyhps) מ-Computest Sector 7
MallocStackLogging
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לקבל הרשאות בסיס
תיאור: בעיה זו טופלה באמצעות טיפול משופר בקבצים.
CVE-2023-32428:Gergely Kalman (@gergely_kalman)
הרשומה נוספה ב‑5 בספטמבר 2023
Metal
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
Model I/O
זמין עבור: macOS Ventura
השפעה: עיבוד דגם תלת-ממדי עלול לגרום לחשיפה של זיכרון תהליך
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
CVE-2023-32368: Mickey Jin (@patch1t)
CVE-2023-32375: Michael DePlante (@izobashi) מ-Trend Micro Zero Day Initiative
CVE-2023-32382: Mickey Jin (@patch1t)
Model I/O
זמין עבור: macOS Ventura
השפעה: עיבוד דגם תלת-ממדי עלול לגרום להפעלת קוד שרירותי
תיאור: בעיית כתיבה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2023-32380: Mickey Jin (@patch1t)
NetworkExtension
זמין עבור: macOS Ventura
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: בעיה זו טופלה על ידי עריכה משופרת של מידע רגיש.
CVE-2023-32403: Adam M.
הרשומה עודכנה ב‑5 בספטמבר 2023
NSURLSession
זמין עבור: macOS Ventura
השפעה: יישום עשוי להצליח לצאת מתוך ארגז החול
תיאור: הבעיה טופלה באמצעות שיפורים בפרוטוקול הטיפול בקבצים.
CVE-2023-32437: תייס אלקמדה מ-Computest Sector 7
הרשומה נוספה ב‑5 בספטמבר 2023
PackageKit
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32355: Mickey Jin (@patch1t)
PDFKit
זמין עבור: macOS Ventura
השפעה: פתיחת קובץ PDF עלולה לגרום לסגירה בלתי צפויה של יישום
תיאור: בעיה במניעת שירות נפתרה באמצעות טיפול משופר בזיכרון.
CVE-2023-32385: Jonathan Fritz
Perl
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32395: Arsenii Kostromin (0x3c3e)
Photos
זמין עבור: macOS Ventura
השפעה: ניתן לצפות ללא אימות בתמונות השייכות לאלבום 'תמונות מוסתרות' דרך 'חיפוש ויזואלי נרחב'
תיאור: הבעיה טופלה באמצעות בדיקות משופרות.
CVE-2023-32390: Julian Szulc
Quick Look
זמין עבור: macOS Ventura
השפעה: ניתוח מבנה של מסמך Office עלול להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: טופלה גלישת חוצץ ושופרה בדיקת חסמים.
CVE-2023-32401: Holger Fuhrmannek מ-Deutsche Telekom Security GmbH מטעם BSI (המשרד הפדרלי הגרמני לאבטחת מידע)
הרשומה נוספה ב‑21 בדצמבר 2023
Sandbox
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשמור על גישה לקובצי תצורת המערכת, גם לאחר ביטול ההרשאה שלו
תיאור: בעיית אישור טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa מ-FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com) ו-Csaba Fitzl (@theevilbit) מ-Offensive Security
Screen Saver
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיית הרשאות טופלה באמצעות הסרה של קוד פגיע והוספת בדיקות.
CVE-2023-32363: מיקי ג'ין (@patch1t)
Security
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש
תיאור: בעיה זו טופלה באמצעות זכאויות משופרות.
CVE-2023-32367: James Duffy (mangoSecure)
Share Sheet
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש
תיאור: בעיית אבטחה טופלה באמצעות שיפור הטיפול בקבצים זמניים.
CVE-2023-32432: Kirin (Pwnrin@)
הרשומה נוספה ב‑5 בספטמבר 2023
Shell
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיית לוגיקה טופלה באמצעות ניהול מצבים משופר.
CVE-2023-32397: Arsenii Kostromin (0x3c3e)
Shortcuts
זמין עבור: macOS Ventura
השפעה: קיצור דרך עלול להצליח להשתמש בנתונים רגישים במהלך פעולות מסוימות בלי להציג בקשה למשתמש
תיאור: הבעיה טופלה באמצעות בדיקות משופרות.
CVE-2023-32391: Wenchao Li ו-Xiaolong Bai מ-Alibaba Group
Shortcuts
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיה זו טופלה באמצעות זכאויות משופרות.
CVE-2023-32404: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) מ-Tencent Security Xuanwu Lab (xlab.tencent.com) וחוקר אנונימי
Siri
זמין עבור: macOS Ventura
השפעה: אדם עם גישה פיזית למכשיר עשוי להצליח להציג פרטים ליצירת קשר ממסך הנעילה
תיאור: הבעיה טופלה באמצעות בדיקות משופרות.
CVE-2023-32394: Khiem Tran
SQLite
זמין עבור: macOS Ventura
השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות
תיאור: בעיה זו טופלה על ידי הוספת הגבלות נוספות לרישום SQLite.
CVE-2023-32422: Gergely Kalman (@gergely_kalman) ו-Wojciech Reguła מ-SecuRing (wojciechregula.blog)
הרשומה עודכנה ב‑2 ביוני 2023
StorageKit
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לשנות חלקים מוגנים במערכת הקבצים
תיאור: בעיה זו טופלה באמצעות זכאויות משופרות.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
sudo
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח להעלות את רמת ההרשאות שלו
תיאור: בעיה זו טופלה באמצעות עדכון ל-sudo.
CVE-2023-22809
הרשומה נוספה ב‑5 בספטמבר 2023
System Settings
זמין עבור: macOS Ventura
השפעה: הגדרת חומת אש של יישום עשויה שלא להיכנס לתוקף לאחר יציאה מיישום ההגדרות
תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.
CVE-2023-28202: Satish Panduranga וחוקר אנונימי
Telephony
זמין עבור: macOS Ventura
השפעה: תוקף מרוחק עלול לגרום לסגירה בלתי צפויה של יישום או להפעלת קוד שרירותי
תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.
CVE-2023-32412: Ivan Fratric מ-Google Project Zero
TV App
זמין עבור: macOS Ventura
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרונות מטמון.
CVE-2023-32408: אדם מ.
Weather
זמין עבור: macOS Ventura
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: בעיה זו טופלה על ידי עריכה משופרת של מידע רגיש.
CVE-2023-32415: Wojciech Regula מ-SecuRing (wojciechregula.blog) וחוקר אנונימי
WebKit
זמין עבור: macOS Ventura
השפעה: עיבוד תוכן אינטרנט עלול לחשוף מידע רגיש
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
WebKit Bugzilla: 255075
CVE-2023-32402: Ignacio Sanmillan (@ulexec)
הרשומה עודכנה ב‑21 בדצמבר 2023
WebKit
זמין עבור: macOS Ventura
השפעה: עיבוד תוכן אינטרנט עלול לחשוף מידע רגיש
תיאור: בעיית גלישת חוצץ טופלה באמצעות טיפול משופר בזיכרון.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
זמין עבור: macOS Ventura
השפעה: תוקף מרוחק עלול להצליח לצאת מארגז חול של תוכן אינטרנט. Apple מודעת לדיווח על כך שייתכן שבעיה זו נוצלה באופן פעיל.
תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.
WebKit Bugzilla: 255350
CVE-2023-32409: קלמנט לצ'יניה מ'קבוצת ניתוח האיומים' של Google ודונצ'ה או-סירבהיל ממעבדת האבטחה של Amnesty International
WebKit
זמין עבור: macOS Ventura
השפעה: עיבוד תוכן אינטרנט עלול לחשוף מידע רגיש. Apple מודעת לדיווח על כך שייתכן שבעיה זו נוצלה באופן פעיל.
תיאור: קריאה מחוץ לתחום טופלה באמצעות אימות קלט משופר.
WebKit Bugzilla: 254930
CVE-2023-28204: חוקר אנונימי
בעיה זו טופלה לראשונה ב-Rapid Security Response macOS 13.3.1 (a).
WebKit
זמין עבור: macOS Ventura
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי. Apple מודעת לדיווח על כך שייתכן שבעיה זו נוצלה באופן פעיל.
תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.
WebKit Bugzilla: 254840
CVE-2023-32373: חוקר אנונימי
בעיה זו טופלה לראשונה ב-Rapid Security Response macOS 13.3.1 (a).
Wi-Fi
זמין עבור: macOS Ventura
השפעה: יישום עלול להצליח לחשוף את זיכרון הליבה
תיאור: בעיה זו טופלה על ידי עריכה משופרת של מידע רגיש.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) מ-STAR Labs SG Pte. Ltd.
תודות נוספות
Accounts
אנחנו מבקשים להודות ל-Sergii Kryvoblotskyi מ-MacPaw Inc. על הסיוע.
CloudKit
אנחנו מבקשים להודות ל-Iconic על הסיוע.
Find My
אנחנו מבקשים להודות ל-Abhinav Thakur, ל-Artem Starovoitov, ל-Hodol K ולחוקר אנונימי על הסיוע.
הרשומה נוספה ב‑21 בדצמבר 2023
libxml2
אנחנו מבקשים להודות לOSS-Fuzz, לנד וויליאמסון מ-Google Project Zero על הסיוע.
Reminders
אנחנו מבקשים להודות ל-Kirin (@Pwnrin) על הסיוע.
Rosetta
אנחנו מבקשים להודות ל-Koh M. Nakagawa מ-FFRI Security, Inc. על הסיוע.
Safari
אנחנו מבקשים להודות ל-Khiem Tran (databaselog.com) על הסיוע.
הרשומה עודכנה ב‑21 בדצמבר 2023
Security
אנחנו מבקשים להודות ל-Brandon Toms על הסיוע.
Share Sheet
אנחנו מבקשים להודות ל-Kirin (@Pwnrin) על הסיוע.
Wallet
אנחנו מבקשים להודות ל-James Duffy (mangoSecure) על הסיוע.
WebRTC
אנחנו מבקשים להודות ל-Dohyun Lee (@l33d0hyun) מ-PK Security ולחוקר אנונימי על הסיוע.
הרשומה נוספה ב‑21 בדצמבר 2023
Wi-Fi
אנחנו מבקשים להודות ל-Adam M. על הסיוע.
הרשומה עודכנה ב‑21 בדצמבר 2023