Informacije o sigurnosnom sadržaju sustava macOS Big Sur 11.5

U ovom se dokumentu opisuje sigurnosni sadržaj sustava macOS Big Sur 11.5.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

macOS Big Sur 11.5

AMD Kernel

Dostupno za: macOS Big Sur

Učinak: uz kernelske ovlasti neke su aplikacije mogle izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2021-30805: ABC Research s.r.o

Analytics

Dostupno za: macOS Big Sur

Učinak: lokalni napadač mogao bi pristupiti analitičkim podacima

Opis: logički problem riješen je poboljšanim ograničenjima.

CVE-2021-30871: Denis Tokarev (@illusionofcha0s)

AppKit

Dostupno za: macOS Big Sur

Učinak: otvaranjem zlonamjerno stvorene datoteke aplikacija se može neočekivano zatvoriti ili se može izvršiti proizvoljni kod

Opis: problem s otkrivanjem informacija riješen je uklanjanjem koda sa slabim točkama.

CVE-2021-30790: hjy79425575 i inicijativa Zero Day (Trend Micro)

App Store

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi zaobići određene postavke privatnosti

Opis: problem s dozvolama riješen je poboljšanom provjerom valjanosti.

CVE-2021-31006: Csaba Fitzl (@theevilbit) (Offensive Security)

Audio

Dostupno za: macOS Big Sur

Učinak: lokalni napadač mogao bi uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30781: tr3e

AVEVideoEncoder

Dostupno za: macOS Big Sur

Učinak: uz kernelske ovlasti neke su aplikacije mogle izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30748: George Nosenko

CoreAudio

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne audiodatoteke može doći do izvršavanja proizvoljnog koda

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30775: JunDong Xie (Ant Security Light-Year Lab)

CoreAudio

Dostupno za: macOS Big Sur

Učinak: reprodukcija zlonamjerne audiodatoteke mogla je izazvati neočekivano zatvaranje aplikacije

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2021-30776: JunDong Xie (Ant Security Light-Year Lab)

CoreGraphics

Dostupno za: macOS Big Sur

Učinak: otvaranje zlonamjerno stvorene PDF datoteke može uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda

Opis: uvjet nadvladavanja riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30786: ryuzaki

CoreServices

Dostupno za: macOS Big Sur

Učinak: neka zlonamjerna aplikacija mogla bi steći korijenske ovlasti

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30772: Zhongcheng Li (CK01)

CoreServices

Dostupno za: macOS Big Sur

Učinak: proces u memoriji za testiranje mogao bi zaobići ograničenja memorije za testiranje

Opis: problem s pristupom riješen je poboljšanim ograničenjima pristupa.

CVE-2021-30783: Ron Waisberg (@epsilan)

CoreStorage

Dostupno za: macOS Big Sur

Učinak: neka zlonamjerna aplikacija mogla bi steći korijenske ovlasti

Opis: problem s ubacivanjem riješen je poboljšanom provjerom valjanosti.

CVE-2021-30777: Tim Michaud (@TimGMichaud) (Zoom Video Communications) i Gary Nield (ECSC Group plc)

CoreText

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne datoteke fonta može doći do izvršavanja proizvoljnog koda

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2021-30789: Mickey Jin (@patch1t) (Trend Micro), Sunglin (tim Knownsec 404)

Crash Reporter

Dostupno za: macOS Big Sur

Učinak: neka zlonamjerna aplikacija mogla bi steći korijenske ovlasti

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2021-30774: Yizhuo Wang (Group of Software Security In Progress (G.O.S.S.I.P) sa šangajskog sveučilišta Jiao Tong)

CVMS

Dostupno za: macOS Big Sur

Učinak: neka zlonamjerna aplikacija mogla bi steći korijenske ovlasti

Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2021-30780: Tim Michaud (@TimGMichaud) (Zoom Video Communications)

dyld

Dostupno za: macOS Big Sur

Učinak: proces u memoriji za testiranje mogao bi zaobići ograničenja memorije za testiranje

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2021-30768: Linus Henze (pinauten.de)

Family Sharing

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi pristupiti podacima o računima uz koje korisnik koristi Dijeljenje s obitelji

Opis: problem s dozvolama riješen je poboljšanom provjerom valjanosti.

CVE-2021-30817: Csaba Fitzl (@theevilbit) (Offensive Security)

Find My

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla je pristupiti podacima aplikacije Nađi moj

Opis: problem s dozvolama riješen je poboljšanom provjerom valjanosti.

CVE-2021-30804: Csaba Fitzl (@theevilbit) (Offensive Security), Wojciech Reguła (@_r3ggi) (SecuRing)

FontParser

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne datoteke fonta može doći do izvršavanja proizvoljnog koda

Opis: prekoračenje cijelog broja riješeno je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2021-30760: Sunglin (tim Knownsec 404)

FontParser

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne tiff datoteke moglo je doći do odbijanja usluge ili potencijalnog otkrivanja sadržaja memorije

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30788: tr3e i inicijativa Zero Day (Trend Micro)

FontParser

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne datoteke fonta može doći do izvršavanja proizvoljnog koda

Opis: problem s prekoračenjem stoga riješen je poboljšanom provjerom valjanosti ulaznih vrijednosti.

CVE-2021-30759: hjy79425575 u suradnji s projektom Zero Day Initiative (Trend Micro)

Identity Services

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi pristupiti nedavnim kontaktima korisnika

Opis: problem s dozvolama riješen je poboljšanom provjerom valjanosti.

CVE-2021-30803: Matt Shockley (twitter.com/mattshockl), Csaba Fitzl (@theevilbit) (Offensive Security)

ImageIO

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne slike moglo je doći do izvršavanja proizvoljnog koda

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30779: Jzhu, Ye Zhang (@co0py_Cat) (Baidu Security)

ImageIO

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne slike moglo je doći do izvršavanja proizvoljnog koda

Opis: prekoračenje spremnika riješeno je poboljšanom provjerom ograničenja.

CVE-2021-30785: CFF (Topsec Alpha Team), Mickey Jin (@patch1t) (Trend Micro)

Intel Graphics Driver

Dostupno za: macOS Big Sur

Učinak: neka bi aplikacija mogla izazvati neočekivani pad sustava ili zapisivati kernelsku memoriju

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30787: anonimni istraživač i inicijativa Zero Day (Trend Micro)

Intel Graphics Driver

Dostupno za: macOS Big Sur

Učinak: uz kernelske ovlasti neke su aplikacije mogle izvršiti proizvoljni kod

Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2021-30766: Liu Long (Ant Security Light-Year Lab)

CVE-2021-30765: Yinyi Wu (@3ndy1) (Qihoo 360 Vulcan Team), Liu Long (Ant Security Light-Year Lab)

IOKit

Dostupno za: macOS Big Sur

Učinak: lokalni napadači mogli su izvršiti kod na Appleovu sigurnosnom čipu T2

Opis: više problema riješeno je poboljšanom logikom.

CVE-2021-30784: George Nosenko

Kernel

Dostupno za: macOS Big Sur

Učinak: uz kernelske ovlasti neke su aplikacije mogle izvršiti proizvoljni kod

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30793: Zuozhi Fan (@pattern_F_) (Ant Security TianQiong Lab)

Kext Management

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi zaobići postavke privatnosti

Opis: ovaj je problem riješen poboljšanim pravima.

CVE-2021-30778: Csaba Fitzl (@theevilbit) (Offensive Security)

LaunchServices

Dostupno za: macOS Big Sur

Učinak: zlonamjerne aplikacije mogle bi izaći izvan ograničene memorije

Opis: problem je riješen poboljšanom sanacijom okruženja.

CVE-2021-30677: Ron Waisberg (@epsilan)

libxml2

Dostupno za: macOS Big Sur

Učinak: udaljeni napadač mogao bi uzrokovati izvršavanje proizvoljnog koda

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-3518

Model I/O

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne slike moglo bi doći do uskraćivanja usluge

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2021-30796: Mickey Jin (@patch1t) (Trend Micro)

Model I/O

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerne slike moglo je doći do izvršavanja proizvoljnog koda

Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2021-30792: anonimni istraživač i inicijativa Zero Day (Trend Micro)

Model I/O

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjerno stvorene datoteke mogli su se otkriti korisnički podaci

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2021-30791: anonimni istraživač i inicijativa Zero Day (Trend Micro)

Networking

Dostupno za: macOS Big Sur

Učinak: otvaranjem zlonamjerne web-stranice moglo je doći do odbijanje usluge

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2021-1821: Georgi Valkov (httpstorm.com)

Sandbox

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi pristupiti ograničenim datotekama

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30782: Csaba Fitzl (@theevilbit) (Offensive Security)

Security

Dostupno za: macOS Big Sur

Učinak: neka bi aplikacija mogla dobiti veće ovlasti

Opis: stanje nadmetanja riješeno je poboljšanim zaključavanjem.

CVE-2021-31004: Csaba Fitzl (@theevilbit) (Offensive Security)

TCC

Dostupno za: macOS Big Sur

Učinak: zlonamjerna aplikacija mogla bi zaobići određene postavke privatnosti

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30798: Mickey Jin (@patch1t) (Trend Micro) u suradnji s inicijativom Zero Day (Trend Micro)

WebKit

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem sa zamjenom vrste riješen je poboljšanim upravljanjem stanjem.

CVE-2021-30758: Christoph Guttandin (Media Codings)

WebKit

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2021-30795: Sergei Glazunov (Google Project Zero)

WebKit

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja koda

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2021-30797: Ivan Fratric (Google Project Zero)

WebKit

Dostupno za: macOS Big Sur

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2021-30799: Sergei Glazunov (Google Project Zero)

Dodatna zahvala

configd

Na pomoći zahvaljujemo Csabi Fitzlu (@theevilbit) (Offensive Security).

CoreText

Željeli bismo zahvaliti Mickeyu Jinu (@patch1t) (Trend Micro) na pomoći.

crontabs

Na pomoći zahvaljujemo Csabi Fitzlu (@theevilbit) (Offensive Security).

Power Management

Na pomoći zahvaljujemo Panu ZhenPengu (@Peterpan0927) (laboratorij Alibaba Security Pandora), Csabi Fitzlu (@theevilbit), Lisandru Ubiedou (@_lubiedo) (laboratorij Stratosphere)

Sandbox

Na pomoći zahvaljujemo Csabi Fitzlu (@theevilbit) (Offensive Security).

Spotlight

Na pomoći zahvaljujemo Csabi Fitzlu (@theevilbit) (Offensive Security).

sysdiagnose

Željeli bismo zahvaliti Carteru Jonesu (linkedin.com/in/carterjones/) i Timu Michaudu (@TimGMichaud) (Zoom Video Communications) na pomoći.