A visionOS 1.2 biztonsági változásjegyzéke

Ez a dokumentum a visionOS 1.2 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

visionOS 1.2

Kiadási dátum: 2024. június 10.

CoreMedia

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27817: pattern-f (@pattern_F_) (Ant Security Light-Year Lab)

CoreMedia

A következőhöz érhető el: Apple Vision Pro

Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2024-27831: Amir Bazine és Karsten König (CrowdStrike Counter Adversary Operations)

Lemezképek

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27832: anonim kutató

Foundation

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27801: CertiK SkyFall Team

ImageIO

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27836: Junsung Lee (a Trend Micro Zero Day Initiative közreműködőjeként)

IOSurface

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-27828: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte.) Ltd.)

Kernel

A következőhöz érhető el: Apple Vision Pro

Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória védelmi funkcióit.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-27840: anonim kutató

Kernel

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2024-27815: egy anonim kutató és Joseph Ravichandran (@0xjprx, MIT CSAIL)

libiconv

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27811: Nick Wellnhofer

Messages

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egy rosszindulatú célból létrehozott feldolgozása szolgáltatásmegtagadáshoz vezethetett.

Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.

CVE-2024-27800: Daniel Zajork és Joshua Zajork

Metal

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az ártó szándékkal létrehozott fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2024-27802: Meysam Firouzi (@R00tkitsmm, a Trend Micro Zero Day Initiative közreműködőjeként)

Metal

A következőhöz érhető el: Apple Vision Pro

Érintett terület: A távoli támadók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli hozzáférési hibát.

CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Safari

A következőhöz érhető el: Apple Vision Pro

Érintett terület: A weboldal által megjelenített hozzájárulási párbeszédpanel bizonyos esetekben a továbbnavigálás után is megmaradt.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-27844: Narendra Bhati (Suma Soft Pvt. Ltd, Pune (India), Shaheen Fazim

Transparency

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: Egy új jogosultság bevezetésével hárítottuk el a problémát.

CVE-2024-27884: Mickey Jin (@patch1t)

Bejegyzés hozzáadva: 2024. július 29.

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát

Leírás: További logika hozzáadásával megoldottuk a problémát.

WebKit Bugzilla: 262337

CVE-2024-27838: Emilio Cobos (Mozilla)

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 268221

CVE-2024-27808: Lukas Bernhard (CISPA Helmholtz Center for Information Security)

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: A webes tartalmak feldolgozása szolgáltatásmegtagadáshoz vezethetett.

Leírás: Hatékonyabb fájlkezeléssel elhárítottunk egy logikai problémát.

CVE-2024-27812: Ryan Pickren (ryanpickren.com)

Bejegyzés frissítve: 2024. június 20.

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát

Leírás: A zajbefecskendező algoritmus fejlesztésével megoldottuk a problémát.

WebKit Bugzilla: 270767

CVE-2024-27850: anonim kutató

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy egészszám-túlcsordulást okozó problémát.

WebKit Bugzilla: 271491

CVE-2024-27833: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében

WebKit

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

WebKit Bugzilla: 272106

CVE-2024-27851: Nan Wang (@eternalsakura13, 360 Vulnerability Research Institute)

WebKit Canvas

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát

Leírás: Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

WebKit Bugzilla: 271159

CVE-2024-27830: Joe Rutkowski (@Joe12387, Crawless) és @abrahamjuliot

WebKit Web Inspector

A következőhöz érhető el: Apple Vision Pro

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 270139

CVE-2024-27820: Jeff Johnson (underpassapp.com)

További köszönetnyilvánítás

ImageIO

Köszönjük egy anonim kutató segítségét.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: