A macOS Monterey 12.7.4 biztonsági változásjegyzéke

Ez a dokumentum a macOS Monterey 12.7.4 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

macOS Monterey 12.7.4

Kiadás dátuma: 2024. március 7.

Admin Framework

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2024-23276: Kirin (@Pwnrin)

AirPort

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat

Leírás: A bizalmas információk hatékonyabb kivonatolásával megoldottuk a problémát.

CVE-2024-23227: Brian McNulty

AppleMobileFileIntegrity

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit

Leírás: Az Intel-alapú Mac számítógépeket érintő leminősítési probléma további kódaláírási korlátozásokkal lett kezelve.

CVE-2024-23269: Mickey Jin (@patch1t)

ColorSync

A következőhöz érhető el: macOS Monterey.

Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-23247: m4yfly (TianGong Team, Legendsec, Qi'anxin Group)

CoreCrypto

A következőhöz érhető el: macOS Monterey.

Érintett terület: A támadó képes lehet régi RSA PKCS#1 v1.5 kriptoszövegek visszafejtésére privát kulcs nélkül

Leírás: A kriptográfiai függvények konstans idejű számításainak a javításával orvosoltuk egy időzítésalapú „oldalcsatornás” támadás lehetőségét.

CVE-2024-23218: Clemens Lang

Disk Images

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások adott esetben ki tudtak törni a sandboxból

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-23299: anonim kutató

Bejegyzés hozzáadva 2024. május 29.

Dock

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egy alkalmazás egy normál felhasználói fiókból képes lehetett a jogosultságok kiterjesztésére egy rendszergazdai felhasználó bejelentkezése után.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2024-23244: Csaba Fitzl (@theevilbit), OffSec

Image Processing

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-23270: anonim kutató

ImageIO

A következőhöz érhető el: macOS Monterey.

Érintett terület: A képek feldolgozásakor tetszőleges programkód végrehajtására nyílt lehetőség.

Leírás: Hatékonyabb memóriakezeléssel hárítottunk el egy puffertúlcsordulást okozó problémát.

CVE-2024-23286: Junsung Lee (Trend Micro Zero Day Initiative), Amir Bazine és Karsten König (CrowdStrike Counter Adversary Operations), Dohyun Lee (@l33d0hyun), Lyutoon és Mr.R

Bejegyzés frissítve 2024. május 29.

ImageIO

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egy kép feldolgozása lehetőséget adott folyamatmemória közzétételére.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-23257: Junsung Lee (a Trend Micro Zero Day Initiative közreműködőjeként)

Intel Graphics Driver

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2024-23234: Murray Mike

Kerberos v5 PAM module

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-23266: Pedro Tôrres (@t0rr3sp3dr0)

Kernel

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások váratlan rendszerleállást tudtak előidézni, illetve írni tudtak a kernelmemóriába

Leírás: Hatékonyabb zárolás révén elhárítottunk egy memóriasérülési biztonsági rést.

CVE-2024-23265: Xinru Chi (Pangu Lab)

Kernel

A következőhöz érhető el: macOS Monterey.

Érintett terület: A kernelolvasási és -írási képességekkel rendelkező támadók bizonyos esetekben meg tudták kerülni a kernel memóriavédelmét. Az Apple tud egy olyan jelentésről, amely szerint előfordulhat, hogy ezt a problémát kihasználták.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2024-23225

libxpc

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az appok szolgáltatásmegtagadást tudtak előidézni.

Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.

CVE-2024-23201: Koh M. Nakagawa (FFRI Security, Inc) és egy anonim kutató

MediaRemote

A következőhöz érhető el: macOS Monterey

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: A bizalmas információk hatékonyabb kivonatolásával megoldottuk a problémát.

CVE-2023-28826: Meng Zhang (鲸落, NorthSea)

Metal

A következőhöz érhető el: macOS Monterey.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.

CVE-2024-23264: Meysam Firouzi (@R00tkitsmm, a Trend Micro Zero Day Initiative közreműködőjeként)

Notes

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.

CVE-2024-23283

PackageKit

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárult egy beszúrási probléma.

CVE-2024-23274: Bohdan Stasiuk (@Bohdan_Stasiuk)

CVE-2024-23268: Mickey Jin (@patch1t) és Pedro Tôrres (@t0rr3sp3dr0)

PackageKit

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egyes alkalmazások képesek voltak védett felhasználói adatokhoz hozzáférni.

Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.

CVE-2024-23275: Mickey Jin (@patch1t)

PackageKit

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egy alkalmazás potenciálisan meg tudott kerülni bizonyos adatvédelmi beállításokat

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-23267: Mickey Jin (@patch1t)

PackageKit

A következőhöz érhető el: macOS Monterey.

Érintett terület: Egyes alkalmazások képesek voltak eltérő fájlokat is felülírni

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.

CVE-2024-23216: Pedro Tôrres (@t0rr3sp3dr0)

SharedFileList

A következőhöz érhető el: macOS Monterey

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: Hatékonyabb fájlkezeléssel hárítottuk el a problémát.

CVE-2024-23230: Mickey Jin (@patch1t)

Shortcuts

A következőhöz érhető el: macOS Monterey.

Érintett terület: Bizonyos esetekben a parancsok bizonyos műveletek során bizalmas adatokat tudtak felhasználni anélkül, hogy erről megkérdezték volna a felhasználót.

Leírás: További engedély-ellenőrzési lépésekkel küszöböltük ki a problémát.

CVE-2024-23204: Jubaer Alnazi (@h33tjubaer)

Shortcuts

A következőhöz érhető el: macOS Monterey.

Érintett terület: A harmadik felek parancsai az Automator egy régebbi műveletével eseményeket küldhettek alkalmazásoknak a felhasználó hozzájárulása nélkül.

Leírás: A problémát a felhasználói hozzájárulást kérő kiegészítő kérdés bevezetésével orvosoltuk.

CVE-2024-23245: anonim kutató

Storage Services

A következőhöz érhető el: macOS Monterey.

Érintett terület: A felhasználók hozzáférést szerezhettek a fájlrendszer védett részeihez.

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2024-23272: Mickey Jin (@patch1t)

Transparency

A következőhöz érhető el: macOS Monterey

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: Az adattárolókhoz való hozzáférés hatékonyabb korlátozásával orvosultuk a problémát.

CVE-2023-40389: Csaba Fitzl (@theevilbit, Offensive Security) és Joshua Jewett (@JoshJewett33)

Bejegyzés hozzáadva 2024. május 29.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: