Informacije o sigurnosnom sadržaju sustava macOS Ventura 13.4
U ovom se dokumentu opisuje sigurnosni sadržaj sustava macOS Ventura 13.4.
Informacije o Appleovim sigurnosnim ažuriranjima
Da bi zaštitio korisnike, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.
Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.
macOS Ventura 13.4
Objavljeno 18. svibnja 2023.
Accessibility
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2023-32388: Kirin (@Pwnrin)
Accessibility
Dostupno za: macOS Ventura
Učinak: prava i dozvole povezane s privatnošću dodijeljene ovoj aplikaciji možda će koristiti zlonamjerna aplikacija
Opis: taj je problem riješen poboljšanim provjerama.
CVE-2023-32400: Mickey Jin (@patch1t)
Accounts
Dostupno za: macOS Ventura
Učinak: napadač bi mogao neovlašteno objaviti e-mailove korisničkih računa
Opis: problem s dozvolama riješen je poboljšanim redigiranjem osjetljivih podataka.
CVE-2023-34352: Sergii Kryvoblotskyi (MacPaw Inc.)
Unos dodan 5. rujna 2023.
AMD
Dostupno za: macOS Ventura
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem s preljevom međuspremnika riješen je poboljšanim upravljanjem memorijom.
CVE-2023-32379: ABC Research s.r.o.
Unos dodan 5. rujna 2023.
AppleMobileFileIntegrity
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: ovaj je problem riješen poboljšanim pravima.
CVE-2023-32411: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Dostupno za: macOS Ventura
Učinak: aplikacija može umetnuti kod u osjetljive binarne datoteke u paketu s alatima Xcode
Opis: problem je riješen primjenom dodatnog osiguranja pokretanja na zahvaćenim binarnim datotekama na razini sustava.
CVE-2023-32383: James Duffy (mangoSecure)
Unos dodan 21. prosinca 2023.
Associated Domains
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle izaći izvan ograničene memorije
Opis: problem je riješen poboljšanim provjerama.
CVE-2023-32371: James Duffy (mangoSecure)
Contacts
Dostupno za: macOS Ventura
Učinak: aplikacija može vidjeti nezaštićene korisničke podatke
Opis: problem s privatnosti riješen je poboljšanim rukovanjem privremenim datotekama.
CVE-2023-32386: Kirin (@Pwnrin)
Core Location
Dostupno za: macOS Ventura
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: problem je riješen poboljšanim rukovanjem predmemorijama.
CVE-2023-32399: Adam M.
Unos ažuriran 5. rujna 2023.
CoreServices
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2023-28191: Mickey Jin (@patch1t)
CUPS
Dostupno za: macOS Ventura
Učinak: korisnik kojem nije provjerena autentičnost mogao bi pristupati nedavno ispisanim dokumentima
Opis: problem s provjerom autentičnosti riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32360: Gerhard Muth
dcerpc
Dostupno za: macOS Ventura
Učinak: udaljeni napadači mogo bi izazvati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2023-32387: Dimitrios Tatsis iz tvrtke Cisco Talos
DesktopServices
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle izaći izvan ograničene memorije
Opis: problem je riješen poboljšanim provjerama.
CVE-2023-32414: Mickey Jin (@patch1t)
Face Gallery
Dostupno za: macOS Ventura
Učinak: korisnik s fizičkim pristupom zaključanom Apple Watch mogao bi pregledavati fotografije putem značajki pristupačnosti
Taj je problem riješen ograničavanjem opcija na zaključanom zaslonu.
CVE-2023-32417: Zitong Wu (吴梓桐) (Zhuhai No.1 High School (珠海市第一中学))
Unos dodan 5. rujna 2023.
GeoServices
Dostupno za: macOS Ventura
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2023-32392: Adam M.
Unos ažuriran 5. rujna 2023.
ImageIO
Dostupno za: macOS Ventura
Učinak: obradom slike može doći do otkrivanja procesne memorije
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2023-32372: Meysam Firouzi (laboratorij za inovacije @R00tkitSMM Mbition mercedes-benz u suradnji s projektom Trend Micro Zero Day Initiative)
Unos ažuriran 5. rujna 2023.
ImageIO
Dostupno za: macOS Ventura
Učinak: obradom slike moglo bi doći do izvršavanja proizvoljnog koda.
Opis: prekoračenje spremnika riješeno je poboljšanom provjerom ograničenja.
CVE-2023-32384: Meysam Firouzi (@R00tkitsmm) u suradnji s projektom Zero Day Initiative tvrtke Trend Micro
IOSurface
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla otkriti osjetljivo kernelsko stanje
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2023-32410: hou xuewei (@p1ay8y3ar) (vmk msu)
IOSurfaceAccelerator
Dostupno za: macOS Ventura
Učinak: neka bi aplikacija mogla izazvati neočekivano zatvaranje sustava ili čitati kernelsku memoriju
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2023-32420: tim tvrtke CertiK SkyFall i Linus Henze (Pinauten GmbH (pinauten.de))
Unos ažuriran 5. rujna 2023.
Kernel
Dostupno za: macOS Ventura
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem sa zamjenom tipova riješen je poboljšanim provjerama.
CVE-2023-27930: 08Tc3wBB iz tvrtke Jamf
Kernel
Dostupno za: macOS Ventura
Učinak: aplikacija u memoriji za testiranje mogla bi pomatrati veze diljem sustava
Opis: problem je riješen dodatnim provjerama dozvola.
CVE-2023-27940: James Duffy (mangoSecure)
Kernel
Dostupno za: macOS Ventura
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2023-32398: Adam Doupé iz organizacije ASU SEFCOM
Kernel
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle dobiti korijenske ovlasti
Opis: uvjet nadvladavanja riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) iz tvrtke Synacktiv (@Synacktiv) u suradnji s projektom Zero Day Initiative tvrtke Trend Micro
LaunchServices
Dostupno za: macOS Ventura
Učinak: aplikacija može zaobići provjere alata Gatekeeper
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) iz organizacije SecuRing (wojciechregula.blog)
libxml2
Dostupno za: macOS Ventura
Učinak: veći broj problema u medijateci libxml2
Opis: veći broj problema s oštećenom memorijom riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2021-30993: OSS-Fuzz, Ned Williamson (Google Project Zero)
CVE-2021-30993: OSS-Fuzz, Ned Williamson (Google Project Zero)
Unos dodan 21. prosinca 2023.
libxpc
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32369: Jonathan Bar Or (Microsoft), Anurag Bohra (Microsoft) i Michael Pearse (Microsoft)
libxpc
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle dobiti korijenske ovlasti
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2023-32405: Thijs Alkemade (@xnyhps) iz odjela Computest Sector 7
MallocStackLogging
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle dobiti korijenske ovlasti
Opis: ovaj je problem riješen poboljšanim rukovanjem datotekom.
CVE-2023-32428: Gergely Kalman (@gergely_kalman)
Unos dodan 5. rujna 2023.
Metal
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
MobileStorageMounter
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle dobiti veće ovlasti
Opis: problem s dozvolom riješen je dodatnim ograničenjima.
CVE-2023-42958: Mickey Jin (@patch1t)
Unos je dodan 16. srpnja 2024.
Model I/O
Dostupno za: macOS Ventura
Učinak: obradom 3D modela može doći do otkrivanja procesne memorije
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2023-32368: Mickey Jin (@patch1t)
CVE-2023-32375: Michael DePlante (@izobashi) (inicijativa Trend Micro Zero Day)
CVE-2023-32382: Mickey Jin (@patch1t)
Model I/O
Dostupno za: macOS Ventura
Učinak: obrada 3D modela može dovesti do izvršavanja proizvoljnog koda
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2023-32380: Mickey Jin (@patch1t)
NetworkExtension
Dostupno za: macOS Ventura
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2023-32403: Adam M.
Unos ažuriran 5. rujna 2023.
NSURLSession
Dostupno za: macOS Ventura
Učinak: aplikacije bi mogle izaći izvan ograničene memorije
Opis: problem je riješen poboljšanjima protokola za rukovanje datotekama.
CVE-2023-32437: Thijs Alkemade (Computest Sector 7)
Unos dodan 5. rujna 2023.
PackageKit
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32355: Mickey Jin (@patch1t)
PDFKit
Dostupno za: macOS Ventura
Učinak: otvaranje PDF datoteke moglo bi dovesti do neočekivanog zatvaranja aplikacije
Opis: problem odbijanja usluge riješen je poboljšanim upravljanjem memorijom.
CVE-2023-32385: Jonathan Fritz
Perl
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32395: Arsenii Kostromin (0x3c3e)
Photos
Dostupno za: macOS Ventura
Učinak: fotografije iz albuma Skriveno mogle bi se pregledavati bez provjere autentičnosti putem Vizualnog traženja
Opis: problem je riješen poboljšanim provjerama.
CVE-2023-32390: Julian Szulc
Quick Look
Dostupno za: macOS Ventura
Učinak: raščlanjivanje uredskog dokumenta može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljno odabranog koda
Opis: prekoračenje spremnika riješeno je poboljšanom provjerom ograničenja.
CVE-2023-32401: Holger Fuhrmannek (Deutsche Telekom Security GmbH) u ime BSI-ja (njemački državni ured za informacijsku sigurnost)
Unos dodan 21. prosinca 2023.
Sandbox
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla dobiti pristup datotekama konfiguracije sustava čak i nakon što joj je opozvana dozvola za to
Opis: problem s autorizacijom riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Jeff Johnson, Koh M. Nakagawa (FFRI Security, Inc.), Kirin (@Pwnrin) i Csaba Fitzl (@theevilbit) (Offensive Security)
Screen Saver
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: problem s dopuštenjima riješen je uklanjanjem koda sa slabim točkama i dodavanjem dodatnih provjera.
CVE-2023-32363: Mickey Jin (@patch1t)
Security
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: ovaj je problem riješen poboljšanim pravima.
CVE-2023-32367: James Duffy (mangoSecure)
Share Sheet
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: problem s privatnosti riješen je poboljšanim rukovanjem privremenim datotekama.
CVE-2023-32432: Kirin (@Pwnrin)
Unos dodan 5. rujna 2023.
Shell
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2023-32397: Arsenii Kostromin (0x3c3e)
Shortcuts
Dostupno za: macOS Ventura
Učinak: prečac bi pomoću određenih radnji mogao upotrijebiti osjetljive podatke bez upita prema korisniku
Opis: problem je riješen poboljšanim provjerama.
CVE-2023-32391: Wenchao Li i Xiaolong Bai (Alibaba Group)
Shortcuts
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: ovaj je problem riješen poboljšanim pravima.
CVE-2023-32404: Mickey Jin (@patch1t) i Zhipeng Huo (@R3dF09) iz sigurnosnog odjela Xuanwu Lab tvrtke Tencent (xlab.tencent.com) i anonimni istraživač
Siri
Dostupno za: macOS Ventura
Učinak: osoba s fizičkim pristupom uređaju mogla bi pristupiti kontaktima sa zaključanog zaslona
Opis: problem je riješen poboljšanim provjerama.
CVE-2023-32394: Khiem Tran
SQLite
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: ovaj je problem riješen dodavanjem dodatnih ograničenja za izradu SQLite zapisnika
CVE-2023-32422: Gergely Kalman (@gergely_kalman) i Wojciech Reguła (SecuRing) (wojciechregula.blog)
Unos je ažuriran 2. lipnja 2023.
StorageKit
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: ovaj je problem riješen poboljšanim pravima.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
sudo
Dostupno za: macOS Ventura
Učinak: aplikacija bi mogla dobiti veće ovlasti
Opis: problem je riješen ažuriranjem na sudo.
CVE-2023-22809
Unos dodan 5. rujna 2023.
System Settings
Dostupno za: macOS Ventura
Učinak: postavke vatrozida neke aplikacije možda neće funkcionirati nakon što izađete iz aplikacije Postavke
Opis: problem je riješen poboljšanim upravljanjem stanjem.
CVE-2023-28202: Satish Panduranga i anonimni istraživač
Telephony
Dostupno za: macOS Ventura
Učinak: udaljeni napadači mogo bi izazvati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2023-32412: Ivan Fratric iz tima Project Zero tvrtke Google
TV App
Dostupno za: macOS Ventura
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: problem je riješen poboljšanim rukovanjem predmemorijama.
CVE-2023-32408: Adam M.
Weather
Dostupno za: macOS Ventura
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2023-32415: Wojciech Regula iz tvrtke SecuRing (wojciechregula.blog) i Adam M.
Unos je ažuriran 16. srpnja 2024.
WebKit
Dostupno za: macOS Ventura
Učinak: obradom web-sadržaja može doći do otkrivanja osjetljivih podataka
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
WebKit Bugzilla: 255075
CVE-2023-32402: Ignacio Sanmillan (@ulexec)
Unos je ažuriran 21. prosinca 2023.
WebKit
Dostupno za: macOS Ventura
Učinak: obradom web-sadržaja može doći do otkrivanja osjetljivih podataka
Opis: problem s preljevom međuspremnika riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
Dostupno za: macOS Ventura
Učinak: udaljeni napadač mogao bi izaći iz Web Content memorije za testiranje. Apple je upoznat s izvješćem o potencijalnom aktivnom iskorištavanju tog problema.
Opis: problem je riješen poboljšanim provjerama ograničenja.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne iz Googleove grupe za analizu prijetnji i Donncha Ó Cearbhaill iz sigurnosnog odjela organizacije Amnesty International
WebKit
Dostupno za: macOS Ventura
Učinak: obradom web-sadržaja može doći do otkrivanja osjetljivih podataka Apple je upoznat s izvješćem o potencijalnom aktivnom iskorištavanju tog problema.
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
WebKit Bugzilla: 254930
CVE-2023-28204: anonimni istraživač
Taj je problem prvo razmotren u rapidnom sigurnosnom odgovoru sustava macOS 13.3.1 (a).
WebKit
Dostupno za: macOS Ventura
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda. Apple je upoznat s izvješćem o potencijalnom aktivnom iskorištavanju tog problema.
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 254840
CVE-2023-32373: anonimni istraživač
Taj je problem prvo razmotren u rapidnom sigurnosnom odgovoru sustava macOS 13.3.1 (a).
Wi-Fi
Dostupno za: macOS Ventura
Učinak: aplikacije su mogle izložiti kernelsku memoriju
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) (STAR Labs SG Pte.) Ltd.)
Dodatna zahvala
Accounts
Zahvaljujemo Sergiiju Kryvoblotskyiju (MacPaw Inc.) na pomoći.
CFNetwork
Željeli bismo zahvaliti Gabrielu Geraldinu de Souzi na pomoći.
Unos je dodan 16. srpnja 2024.
CloudKit
Zahvaljujemo Iconicu na pomoći.
Find My
Na pomoći zahvaljujemo Abhinavu Thakuru, Artemu Starovoitovu, Hodolu K, anonimnom istraživaču
Unos dodan 21. prosinca 2023.
libxml2
Željeli bismo zahvaliti timu projekta OSS-Fuzz i Nedu Williamsonu iz tima Project Zero tvrtke Google na pomoći.
Reminders
Zahvaljujemo Kirinu (@Pwnrin) na pomoći.
Rosetta
Na pomoći zahvaljujemo Kohu M. Nakagawi (FFRI Security, Inc.).
Safari
Na pomoći zahvaljujemo Khiemu Tranu (databaselog.com).
Unos je ažuriran 21. prosinca 2023.
Security
Zahvaljujemo Brandonu Tomsu na pomoći.
Share Sheet
Zahvaljujemo Kirinu (@Pwnrin) na pomoći.
Wallet
Želimo zahvaliti Jamesu Duffyju (mangoSecure) na pomoći.
WebRTC
Na pomoći zahvaljujemo Dohyunu Leeju (@l33d0hyun) (PK Security) i anonimnom istraživaču
Unos dodan 21. prosinca 2023.
Wi-Fi
Na pomoći zahvaljujemo Adamu M.
Unos je ažuriran 21. prosinca 2023.
Wi-Fi Connectivity
Na pomoći zahvaljujemo Adamu M.
Unos je dodan 16. srpnja 2024.
Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.