A macOS Big Sur 11.6.5 biztonsági változásjegyzéke
Ez a dokumentum a macOS Big Sur 11.6.5 biztonsági változásjegyzékét ismerteti.
Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
macOS Big Sur 11.6.5
Accelerate Framework
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott PDF-fájlok megnyitása váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2022-22633: ryuzaki
AppKit
A következőhöz érhető el: macOS Big Sur
Érintett terület: A rosszindulatú alkalmazások gyökérszintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy logikai hibát.
CVE-2022-22665: Lockheed Martin Red Team
AppleGraphicsControl
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2022-22631: Wang Yu (Cyberserval)
AppleScript
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-22648: Mickey Jin (@patch1t; Trend Micro)
AppleScript
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott AppleScript bináris fájlok feldolgozása váratlan alkalmazásleálláshoz vagy a folyamatmemória tartalmának felfedéséhez vezethetett.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.
CVE-2022-22627: Qi Sun és Robert Ai (Trend Micro)
CVE-2022-22626: Mickey Jin (@patch1t; Trend Micro)
AppleScript
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott AppleScript bináris fájlok feldolgozása váratlan alkalmazásleálláshoz vagy a folyamatmemória tartalmának felfedéséhez vezethetett.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2022-22625: Mickey Jin (@patch1t; Trend Micro)
AppleScript
A következőhöz érhető el: macOS Big Sur
Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.
CVE-2022-22597: Qi Sun és Robert Ai (Trend Micro)
BOM
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott ZIP-archívumok meg tudták kerülni a Gatekeeper ellenőrzéseit.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-22616: Ferdous Saljooki (@malwarezoo) és Jaron Bradley (@jbradley89, Jamf Software), Mickey Jin (@patch1t)
CUPS
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-26691: Joshua Mason (Mandiant)
Intel Graphics Driver
A következőhöz érhető el: macOS Big Sur
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy típustévesztési hibát.
CVE-2022-46706: Wang Yu (Cyberserval) és Pan ZhenPeng (@Peterpan0927, Alibaba Security Pandora Lab)
Intel Graphics Driver
A következőhöz érhető el: macOS Big Sur
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy típustévesztési hibát.
CVE-2022-22661: Wang Yu (Cyberserval) és Pan ZhenPeng (@Peterpan0927, Alibaba Security Pandora Lab)
Kernel
A következőhöz érhető el: macOS Big Sur
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2022-22613: Alex, anonim kutató
Kernel
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.
CVE-2022-22615: anonim kutató
CVE-2022-22614: anonim kutató
Kernel
A következőhöz érhető el: macOS Big Sur
Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy címke nélküli mutatófeloldási hibát.
CVE-2022-22638: derrek (@derrekr6)
Kernel
A következőhöz érhető el: macOS Big Sur
Érintett terület: A rosszindulatú alkalmazások magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-22632: Keegan Saunders
Login Window
A következőhöz érhető el: macOS Big Sur
Érintett terület: A Machez hozzáférő személy meg tudta kerülni a bejelentkezési ablakot.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-22647: Yuto Ikeda (Kyushu University)
LoginWindow
A következőhöz érhető el: macOS Big Sur
Érintett terület: Helyi támadók megtekinthették az előzőleg bejelentkezett felhasználó asztalát a gyors felhasználóváltási képernyőről.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.
CVE-2022-22656
MobileAccessoryUpdater
A következőhöz érhető el: macOS Big Sur
Érintett terület: A kernelszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2022-22672: Siddharth Aeri (@b1n4r1b01)
PackageKit
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2022-22617: Mickey Jin (@patch1t)
PackageKit
A következőhöz érhető el: macOS Big Sur
Érintett terület: A gyökérszintű jogosultságokkal rendelkező rosszindulatú alkalmazás módosíthatja a rendszerfájlok tartalmát
Leírás: Hiba állt fenn a szimbolikus hivatkozások kezelési módjában, amelyet továbbfejlesztéssel küszöböltünk ki.
CVE-2022-26688: Mickey Jin (@patch1t; Trend Micro)
QuickTime Player
A következőhöz érhető el: macOS Big Sur
Érintett terület: A bővítmények örökölni tudták az alkalmazás jogosultságait, és el tudták érni a felhasználói adatokat.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2022-22650: Wojciech Reguła (@_r3ggi, SecuRing)
Siri
A következőhöz érhető el: macOS Big Sur
Érintett terület: A készülékhez fizikailag hozzáférő személy Siri segítségével meg tudott szerezni néhány helyadatot a zárolt képernyőről.
Leírás: Hatékonyabb érvényesség-ellenőrzéssel elhárítottunk egy engedélyekkel kapcsolatos hibát.
CVE-2022-22599: Andrew Goldberg (Texasi Egyetem, Austin; McCombs School of Business; linkedin.com/andrew-goldberg-/)
SMB
A következőhöz érhető el: macOS Big Sur
Érintett terület: A távoli támadók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.
CVE-2022-22651: Felix Poulin-Belanger
WebKit
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor adott esetben felfedhetők voltak a bizalmas felhasználói adatok.
Leírás: Hatékonyabb állapotkezeléssel hárítottunk el egy sütikezelési problémát.
CVE-2022-22662: Prakash (@1lastBr3ath, Threat Nix)
WebKit
A következőhöz érhető el: macOS Big Sur
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor adott esetben felfedhetők voltak a bizalmas felhasználói adatok.
Leírás: Hatékonyabb állapotkezeléssel hárítottunk el egy sütikezelési problémát.
CVE-2022-22662: Prakash (@1lastBr3ath, Threat Nix)
xar
A következőhöz érhető el: macOS Big Sur
Érintett terület: A helyi felhasználók írni tudtak tetszőleges fájlokat
Leírás: Érvényesítési hiba lépett fel a szimbolikus hivatkozások kezelésekor. A szimbolikus hivatkozások hatékonyabb hitelesítésével hárítottuk el a problémát.
CVE-2022-22582: Richard Warren (NCC Group)
További köszönetnyilvánítás
Intel Graphics Driver
Köszönjük Jack Dates (RET2 Systems, Inc.) és Yinyi Wu (@3ndy1) segítségét.
syslog
Köszönjük Yonghwi Jin (@jinmo123, Theori) segítségét.
TCC
Köszönjük Fitzl Csaba (@theevilbit; Offensive Security) segítségét.
A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.