Informacije o sigurnosnom sadržaju sustava macOS Mojave 10.14.3, sigurnosnom ažuriranju 2019-001 High Sierra i sigurnosnom ažuriranju 2019-001 Sierra
U ovom dokumentu opisuju se sigurnosni sadržaj sustava macOS Mojave 10.14.3, sigurnosno ažuriranje 2019-001 High Sierra i sigurnosno ažuriranje 2019-001 Sierra.
Informacije o Appleovim sigurnosnim ažuriranjima
Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.
Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.
macOS Mojave 10.14.3, sigurnosno ažuriranje 2019-001 High Sierra i sigurnosno ažuriranje 2019-001 Sierra
AppleKeyStore
Dostupno za: macOS Mojave 10.14.2
Učinak: proces u memoriji za testiranje mogao je zaobići ograničenja memorije za testiranje
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.
CVE-2019-6235: Brandon Azad
Bluetooth
Dostupno za: macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: napadač s mrežnim ovlastima mogao je izvršiti proizvoljni kod
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2019-6200: anonimni istraživač
Osnovni mediji
Dostupno za: macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerna aplikacija mogla bi povećati ovlasti
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2019-6202: Fluoroacetate i inicijativa Zero Day (Trend Micro)
CVE-2019-6221: Fluoroacetate i inicijativa Zero Day (Trend Micro)
CoreAnimation
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerne su aplikacije mogle čitati ograničenu memoriju
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2019-6231: Zhuo Liang (Qihoo 360 Nirvan Team)
CoreAnimation
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerne su aplikacije mogle izaći izvan ograničene memorije
Opis: problem s inicijalizacijom memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2019-6230: Proteas, Shrek_wzw i Zhuo Liang (Qihoo 360 Nirvan Team)
FaceTime
Dostupno za: macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: udaljeni napadač mogao bi pokrenuti poziv putem značajke FaceTime te uzrokovati izvršavanje proizvoljnog koda
Opis: problem s preljevom međuspremnika riješen je poboljšanim upravljanjem memorijom.
CVE-2019-6224: natashenka (Google Project Zero)
Hypervisor
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Učinak: zlonamjerna aplikacija mogla bi povećati ovlasti
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.
CVE-2018-4467: Martim Carbone, David Vernet, Sam Scalise i Fred Jacobs (Grupa za virtualni nadzor stroja, VMware, Inc.)
Intelov grafički upravljački program
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Učinak: neka zlonamjerna aplikacija mogla bi uz sistemske ovlasti izvršiti proizvoljni kod
Opis: problem s potrošnjom memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2018-4452: Liu Long (Qihoo 360 Vulcan Team)
IOKit
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerne su aplikacije mogle izaći izvan ograničene memorije
Opis: problem sa zamjenom vrsta riješen je poboljšanim upravljanjem memorijom.
CVE-2019-6214: Ian Beer (Google Project Zero)
Kernel
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerna aplikacija mogla bi povećati ovlasti
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.
CVE-2019-6225: Brandon Azad (Google Project Zero), Qixun Zhao (Qihoo 360 Vulcan Team)
Kernel
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: uz kernelske ovlasti zlonamjerna aplikacija može izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2019-6210: Ned Williamson (Google)
Kernel
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerna aplikacija mogla je izazvati neočekivane promjene u memoriji koja se dijeli između procesa
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom zaključanog statusa.
CVE-2019-6205: Ian Beer (Google Project Zero)
Kernel
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: uz kernelske ovlasti neka aplikacija mogla bi izvršiti proizvoljni kod
Opis: prekoračenje spremnika riješeno je poboljšanom provjerom ograničenja.
CVE-2019-6213: Ian Beer (Google Project Zero)
Kernel
Dostupno za: macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerna aplikacija može odrediti raspored elemenata kernelske memorije
Opis: otkriven je problem s prekoračenjem čitanja, koji je doveo do otkrivanja sadržaja kernelske memorije. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2019-6209: Brandon Azad (Google Project Zero)
Kernel
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: zlonamjerna aplikacija mogla je izazvati neočekivane promjene u memoriji koja se dijeli između procesa
Opis: problem s inicijalizacijom memorije riješen je poboljšanim upravljanjem memorijom.
CVE-2019-6208: Jann Horn (Google Project Zero)
libxpc
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: uz kernelske ovlasti zlonamjerna aplikacija može izvršiti proizvoljni kod
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2019-6218: Ian Beer (Google Project Zero)
Obrada prirodnog jezika
Dostupno za: macOS Mojave 10.14.2
Učinak: obradom zlonamjerne poruke moglo se uzrokovati odbijanje usluge
Opis: problem s odbijanjem usluge riješen je poboljšanom provjerom valjanosti.
CVE-2019-6219: Authier Thomas
QuartzCore
Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2
Učinak: neka aplikacija mogla bi čitati ograničenu memoriju
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2019-6220: Yufeng Ruan (Laboratorij za istraživanje sigurnosti, Chaitin)
SQLite
Dostupno za: macOS Mojave 10.14.2
Učinak: zlonamjerni SQL upit mogao je dovesti do izvršavanja proizvoljnog koda
Opis: veći broj problema s oštećenom memorijom riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2018-20346: Tencent Blade Team
CVE-2018-20505: Tencent Blade Team
CVE-2018-20506: Tencent Blade Team
WebRTC
Dostupno za: macOS Mojave 10.14.2
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.
CVE-2019-6211: Georgi Geshev (@munmap), Fabi Beterke (@pwnfl4k3s) i Rob Miller (@trotmaster99) (MWR Labs (@mwrlabs)) i inicijativa Zero Day (Trend Micro)
Dodatna zahvala
apache_mod_php
Željeli bismo zahvaliti anonimnom istraživaču na njegovoj pomoći.
Kernel
Željeli bismo zahvaliti Danielu Roethlisbergeru (Swisscom CSIRT) na pomoći.
LibreSSL
Željeli bismo zahvaliti Viktoru Szakatsu na njegovoj pomoći.
mDNSResponder
Na pomoći zahvaljujemo Fatemah Alharbi s Kalifornijskog sveučilišta u Riversideu (UCR) i Sveučilišta Taibah (TU), Jie Chang iz tvrtke LinkSure Network, Yuchen Zhou sa Sveučilišta Northeastern, Feng Qian sa Sveučilišta Minnesota u Twin Cityju, Zhiyun Qian s Kalifornijskog sveučilišta u Riversideu (UCR) te Naelu Abu-Ghazalehu s Kalifornijskog sveučilišta u Riversideu (UCR).
Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.