A macOS Ventura 13.1 biztonsági változásjegyzéke
Ez a dokumentum a macOS Ventura 13.1 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
macOS Ventura 13.1
Kiadási dátum: 2022. december 13.
Accounts
A következőhöz érhető el: macOS Ventura.
Érintett terület: A felhasználók bizonyos esetben hozzá tudtak férni a bizalmas jellegű felhasználói információkhoz.
Leírás: Hatékonyabb adatvédelemmel hárítottuk el a problémát.
CVE-2022-42843: Mickey Jin (@patch1t)
AMD
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2022-42858: ABC Research s.r.o.
Bejegyzés hozzáadva 2023. március 16.
AMD
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2022-42847: ABC Research s.r.o.
AppleMobileFileIntegrity
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Megerősített futtatási idővel hárítottuk el a problémát.
CVE-2022-42865: Wojciech Reguła (@_r3ggi, SecuRing)
Bluetooth
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2022-42854: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte. Ltd., (@starlabs_sg)
Boot Camp
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit
Leírás: Hatékonyabb hozzáférés-korlátozással hárítottunk el egy hozzáférési problémát.
CVE-2022-42853: Mickey Jin (@patch1t; Trend Micro)
CoreServices
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: A veszélynek kitett kód eltávolításával több problémát elhárítottunk.
CVE-2022-42859: Mickey Jin (@patch1t), Fitzl Csaba (@theevilbit, Offensive Security)
curl
A következőhöz érhető el: macOS Ventura.
Érintett terület: Több hiba is fennállt a curl esetén.
Leírás: Több hibát elhárítottunk a curl 7.85.0-s verzióra való frissítésével.
CVE-2022-35252
Bejegyzés hozzáadva 2023. október 31.
DriverKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2022-32942: Linus Henze (Pinauten GmbH; pinauten.de)
dyld
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások adott esetben ki tudtak törni a sandboxból
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy egészszám-túlcsordulást okozó problémát.
CVE-2022-46720: Yonghwi Jin (@jinmo123, Theori)
Bejegyzés hozzáadva 2023. március 16.
iCloud Photo Library
A következőhöz érhető el: macOS Ventura.
Érintett terület: Bizonyos helyzetekben akkor is meg lehetett osztani helyadatokat iCloud-hivatkozáson keresztül, ha a Megosztás lapon letiltották a hellyel kapcsolatos metaadatok megosztását.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2022-46710: John Balestrieri (Tinrocket)
Bejegyzés hozzáadva 2023. október 31.
ImageIO
A következőhöz érhető el: macOS Ventura.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2022-46693: Mickey Jin (@patch1t)
IOHIDFamily
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy versenyhelyzeti problémát.
CVE-2022-42864: Tommy Muir (@Muirey03)
IOMobileFrameBuffer
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2022-46690: John Aakerblom (@jaakerblom)
IOMobileFrameBuffer
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli hozzáférési hibát.
CVE-2022-46697: John Aakerblom (@jaakerblom) és Antonio Zekic (@antoniozekic)
iTunes Store
A következőhöz érhető el: macOS Ventura.
Érintett terület: A távoli felhasználók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hiba lépett fel az URL-ek elemzésekor. Hatékonyabb bevitel-ellenőrzéssel hárítottuk el a problémát.
CVE-2022-42837: Weijia Dai (@dwj1210, Momo Security)
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.
CVE-2022-46689: Ian Beer (Google Project Zero)
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: A rosszindulatú NFS-szerverekhez való csatlakozás tetszőleges programkód végrehajtását eredményezhette kerneljogosultságokkal.
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
CVE-2022-46701: Felix Poulin-Belanger
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: A távoli felhasználók elő tudták idézni egy kernelkód végrehajtását
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2022-42842: pattern-f (@pattern_F_, Ant Security Light-Year Lab)
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások adott esetben ki tudtak törni a sandboxból
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-42861: pattern-f (@pattern_F_, Ant Security Light-Year Lab)
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások tetszőleges kódvégrehajtást tudtak előidézni kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2022-42845: Adam Doupé (ASU SEFCOM)
Kernel
A következőhöz érhető el: macOS Ventura.
Érintett terület: A támadók tetszőleges olvasási és írási képesség birtokában megkerülhették a Mutatóhitelesítést. Az Apple tisztában van vele, hogy a problémát kihasználhatták az iOS 15.7.1 előtt kiadott iOS-verziókban.
Leírás: Hatékonyabb ellenőrzésekkel kiküszöböltük a problémát.
CVE-2022-48618: Apple
Bejegyzés hozzáadva: 2024. január 9.
Networking
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat
Leírás: A bizalmas információk hatékonyabb kivonatolásával megoldottuk a problémát.
CVE-2022-42839: Adam M.
Bejegyzés hozzáadva: 2023. október 31., frissítve: 2024. május 31.
Networking
A következőhöz érhető el: macOS Ventura.
Érintett terület: A Privát átjátszó működése nem egyezett meg a rendszerbeállításokkal.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-46716
Bejegyzés hozzáadva 2023. március 16.
PackageKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-46704: Mickey Jin (@patch1t), Fitzl Csaba (@theevilbit, Offensive Security)
Bejegyzés hozzáadva: 2022. december 22.
Photos
A következőhöz érhető el: macOS Ventura.
Érintett terület: A Visszavonás rázással művelet lehetővé tette, hogy egy törölt fénykép hitelesítés nélkül ismét megjelenjen.
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
CVE-2022-32943: Jiwon Park, Mieszko Wawrzyniak és egy anonim kutató
Bejegyzés frissítve 2023. október 31.
ppp
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2022-42840: anonim kutató
Preferences
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az appok tetszőleges jogosultságokat tudtak használni
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-42855: Ivan Fratric (Google Project Zero)
Printing
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2022-42862: Mickey Jin (@patch1t)
Ruby
A következőhöz érhető el: macOS Ventura.
Érintett terület: A távoli felhasználók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-24836
CVE-2022-29181
Safari
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egy rosszindulatú tartalmakat tartalmazó webhely hozzá tudott férni a felhasználói felülethez
Leírás: Kanonizálási probléma lépett fel az URL-címek kezelésekor. Hatékonyabb bevitel-ellenőrzéssel hárítottuk el a problémát.
CVE-2022-46695: KirtiKumar Anandrao Ramchandani
TCC
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2022-46718: Michael (Biscuit) Thomas
Bejegyzés hozzáadva 2023. május 1-én.
Weather
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2022-46703: Wojciech Reguła (@_r3ggi, SecuRing) és Adam M.
Bejegyzés hozzáadva: 2023. március 16., frissítve: 2024. május 31.
Weather
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat
Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2022-42866: anonim kutató
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Egy rosszindulatú tartalmakat tartalmazó webhely hozzá tudott férni a felhasználói felülethez
Leírás: A probléma a felhasználói felület hatékonyabb kezelésével hárult el.
WebKit Bugzilla: 247461
CVE-2022-32919: @real_as3617
Bejegyzés hozzáadva 2023. október 31.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webhelyek meglátogatásakor meghamisítható volt a címsáv.
Leírás: Kanonizálási probléma lépett fel az URL-címek kezelésekor. Hatékonyabb bevitel-ellenőrzéssel hárítottuk el a problémát.
WebKit Bugzilla: 247289
CVE-2022-46725: Hyeon Park (@tree_segment, Team ApplePIE)
WebKit Bugzilla: 247287
CVE-2022-46705: Hyeon Park (@tree_segment, Team ApplePIE)
Bejegyzés hozzáadva: 2022. december 22., frissítve: 2023. október 31.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
WebKit Bugzilla: 245521
CVE-2022-42867: Maddie Stone (Google Project Zero)
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriafelhasználási hibát.
WebKit Bugzilla: 245466
CVE-2022-46691: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang és JiKai Ren és Hang Shu (Institute of Computing Technology, Chinese Academy of Sciences)
Bejegyzés frissítve 2023. október 31.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor megkerülhető volt a Same Origin szabályzat.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani (kirtikumarar.com)
Bejegyzés frissítve 2023. október 31.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor lehetővé vált a folyamatmemória közzététele
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 246721
CVE-2022-42852: hazbinhotel, a Trend Micro Zero Day Initiative közreműködőjeként
Bejegyzés frissítve: 2022. december 22.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
WebKit Bugzilla: 246942
CVE-2022-46696: Samuel Groß (Google V8 Security)
WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß (Google V8 Security)
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor adott esetben felfedhetők voltak a bizalmas felhasználói adatok
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
WebKit Bugzilla: 247066
CVE-2022-46698: Dohyun Lee (@l33d0hyun, DNSLab, Korea University), Ryan Shin (IAAI SecLab, Korea University)
Bejegyzés frissítve: 2022. december 22.
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
WebKit Bugzilla: 247420
CVE-2022-46699: Samuel Groß (Google V8 Security)
WebKit Bugzilla: 244622
CVE-2022-42863: anonim kutató
WebKit
A következőhöz érhető el: macOS Ventura.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség. Az Apple tisztában van vele, hogy a problémát aktívan kihasználhatták az iOS 15.1 előtt kiadott iOS-verziókban.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy típustévesztési hibát.
WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lecigne (Google's Threat Analysis Group)
xar
A következőhöz érhető el: macOS Ventura.
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott csomagok feldolgozásakor tetszőleges programkód végrehajtására került sor
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy típustévesztési hibát.
CVE-2022-42841: Thijs Alkemade (@xnyhps, Computest Sector 7)
További köszönetnyilvánítás
Kernel
Köszönjük Zweig (Kunlun Lab) segítségét.
Lock Screen
Köszönjük Kevin Mann segítségét.
Safari Extensions
Köszönjük Oliver Dunk és Christian R. (1Password) segítségét.
WebKit
Köszönjük egy anonim kutató és scarlet segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.