A macOS Catalina 10.15 biztonsági változásjegyzéke

Ez a dokumentum a macOS Catalina 10.15 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

macOS Catalina 10.15

Kiadás dátuma: 2019. október 7.

AMD

A következőkhöz érhető el: MacBook (2015 eleje és újabb), MacBook Air (2012 közepe és újabb), MacBook Pro (2012 közepe és újabb), Mac mini (2012 vége és újabb), iMac (2012 vége és újabb), iMac Pro (az összes modell), Mac Pro (2013 vége és újabb)

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8748: Lilang Wu és Moony Li (Trend Micro Mobile Security Research Team)

apache_mod_php

Érintett terület: A PHP több biztonsági rése.

Leírás: Több hibát elhárítottunk a PHP 7.3.8-as verziójára való frissítéssel.

CVE-2019-11041

CVE-2019-11042

Audio

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8706: Yu Zhou (Ant-Financial Light-Year Security Lab)

Bejegyzés hozzáadva: 2019. október 29.

Audio

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor felfedhető volt a korlátozott memória.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2019-8850: anonim kutató, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. december 4.

Books

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott iBooks-fájlok elemzésekor folyamatos szolgáltatásmegtagadás lépett fel.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy erőforrásfogyással kapcsolatos hibát.

CVE-2019-8774: Gertjan Franken imec-DistriNet (KU Leuven)

Bejegyzés hozzáadva: 2019. október 29.

CFNetwork

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8753: Łukasz Pilorz (Standard Chartered GBS Poland)

Bejegyzés hozzáadva: 2019. október 29.

CoreAudio

Érintett terület: Az ártó szándékkal létrehozott filmek feldolgozása lehetőséget adott a folyamatmemóriához való illetéktelen hozzáférésre.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8705: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CoreAudio

Érintett terület: Egy rosszindulatú hangfájl lejátszása tetszőleges programkód végrehajtására adott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8592: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. november 6.

CoreCrypto

Érintett terület: Előfordult, hogy nagy mennyiségű bemenet feldolgozásakor szolgáltatásmegtagadás lépett fel.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy szolgáltatásmegtagadási hibát.

CVE-2019-8741: Nicky Mouha (NIST)

Bejegyzés hozzáadva: 2019. október 29.

CoreMedia

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8825: megtaláló: GWP-ASan a Google Chrome-ban

Bejegyzés hozzáadva: 2019. október 29.

Crash Reporter

Érintett terület: A „Mac elemzés megosztása” beállítás időnként nem volt letiltható, amikor a felhasználó törölte a jelet az analitikai adatok megosztását engedélyező jelölőnégyzetből.

Leírás: Versenyhelyzeti probléma állt fenn a felhasználói beállítások olvasásakor és írásakor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-8757: William Cerniuk (Core Development, LLC)

CUPS

Érintett terület: A magas hálózati jogosultságú támadók ki tudtak szivárogtatni bizalmas jellegű információkat.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.

CVE-2019-8736: Pawel Gocyla (ING Tech Poland, ingtechpoland.com)

Bejegyzés hozzáadva: 2019. október 29.

CUPS

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott karakterláncok feldolgozásakor sérült a halommemória.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriafelhasználási hibát.

CVE-2019-8767: Stephen Zeisberg

Bejegyzés hozzáadva: 2019. október 29.

CUPS

Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb ellenőrzéssel hárítottunk el egy szolgáltatásmegtagadással kapcsolatos problémát.

CVE-2019-8737: Pawel Gocyla (ING Tech Poland, ingtechpoland.com)

Bejegyzés hozzáadva: 2019. október 29.

dyld

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8776: Jann Horn (Google Project Zero)

Bejegyzés hozzáadva: 2020. február 3.

File Quarantine

Érintett terület: A rosszindulatú alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: A sebezhető kód eltávolításával hárítottuk el a problémát.

CVE-2019-8509: CodeColorist (Ant-Financial Light-Year Labs)

Bejegyzés hozzáadva: 2019. október 29.

Foundation

Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2019-8746: natashenka és Samuel Groß (Google Project Zero)

Bejegyzés hozzáadva: 2019. október 29.

Graphics

Érintett terület: A rosszindulatú shaderek feldolgozásakor időnként váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2018-12152: Piotr Bania (Cisco Talos)

CVE-2018-12153: Piotr Bania (Cisco Talos)

CVE-2018-12154: Piotr Bania (Cisco Talos)

Bejegyzés hozzáadva: 2019. október 29.

IOGraphics

Érintett terület: A helyi felhasználók váratlan rendszerleállást tudtak előidézni, illetve olvasni tudták a kernelmemóriát.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2019-8759: another (360 Nirvan Team)

Bejegyzés hozzáadva: 2019. október 29.

Intel Graphics Driver

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8758: Lilang Wu és Moony Li (Trend Micro)

IOGraphics

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2019-8755: Lilang Wu és Moony Li (Trend Micro)

Kernel

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: A jogosultságok megadásának javításával hárítottuk el a problémát.

CVE-2019-8703: anonim kutató

Bejegyzés hozzáadva: 2021. március 16.

Kernel

Érintett terület: Előfordult, hogy a helyi alkalmazások olvasni tudták az állandó fiókazonosítókat.

Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.

CVE-2019-8809: Apple

Bejegyzés hozzáadva: 2019. október 29.

Kernel

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Memóriasérülési probléma lépett fel az IPv6-csomagok kezelésekor. Hatékonyabb memóriakezeléssel küszöböltük ki a problémát.

CVE-2019-8744: Zhuo Liang (Qihoo 360 Vulcan Team)

Bejegyzés hozzáadva: 2019. október 29.

Kernel

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8717: Jann Horn (Google Project Zero)

Kernel

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

CVE-2019-8781: Linus Henze (pinauten.de)

Bejegyzés frissítve: 2019. október 29.

libxml2

Érintett terület: A libxml2 motorral kapcsolatos többféle probléma.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2019-8749: megtaláló: OSS-Fuzz

CVE-2019-8756: megtaláló: OSS-Fuzz

Bejegyzés hozzáadva: 2019. október 29.

libxslt

Érintett terület: A libxslt motorral kapcsolatos többféle probléma.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2019-8750: megtaláló: OSS-Fuzz

Bejegyzés hozzáadva: 2019. október 29.

mDNSResponder

Érintett terület: Egy fizikailag a közelben lévő támadó passzív módon megfigyelhette a készülékneveket az AWDL-kommunikációk során.

Leírás: A problémát úgy hárítottuk el, hogy a készülékneveket véletlenszerű azonosítóra cseréltük le.

CVE-2019-8799: David Kreitschmann és Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Bejegyzés hozzáadva: 2019. október 29.

Menus

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8826: megtaláló: GWP-ASan a Google Chrome-ban

Bejegyzés hozzáadva: 2019. október 29.

Notes

Érintett terület: A helyi felhasználók meg tudták tekinteni egy másik felhasználó zárolt jegyzeteit.

Leírás: A zárolt jegyzetek tartalma néha megjelent a keresési találatok között. Hatékonyabb adattisztítással küszöböltük ki a problémát.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg; Virginia Polytechnic Institute and State University)

PDFKit

Érintett terület: Előfordult, hogy támadók ki tudták vonni titkosított PDF-fájlok tartalmát.

Leírás: Hibás volt a titkosított PDF-fájlokban található hivatkozások kezelése. Egy megerősítésre felszólító üzenet hozzáadásával küszöböltük ki a problémát.

CVE-2019-8772: Jens Müller (Ruhr University Bochum), Fabian Ising (FH Münster University of Applied Sciences), Vladislav Mladenov (Ruhr University Bochum), Christian Mainka (Ruhr University Bochum), Sebastian Schinzel (FH Münster University of Applied Sciences) és Jörg Schwenk (Ruhr University Bochum)

PluginKit

Érintett terület: Előfordult, hogy a helyi felhasználók ellenőrizni tudták, hogy léteznek-e tetszőleges fájlok.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2019-8708: anonim kutató

Bejegyzés hozzáadva: 2019. október 29.

PluginKit

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8715: anonim kutató

Bejegyzés hozzáadva: 2019. október 29.

Sandbox

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.

Leírás: További sandbox-korlátozásokkal elhárítottunk egy hozzáféréssel összefüggő problémát.

CVE-2019-8855: Apple

Bejegyzés hozzáadva: 2019. december 18.

SharedFileList

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni a legutóbbi dokumentumokhoz.

Leírás: Hatékonyabb engedélyezési logikával küszöböltük ki a problémát.

CVE-2019-8770: Stanislav Zinukhov (Parallels International GmbH)

sips

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8701: Simon Huang (@HuangShaomang), Rong Fan (@fanrong1992) és pjf (IceSword Lab, Qihoo 360)

UIFoundation

Érintett terület: Az ártó szándékkal létrehozott szövegfájlok elemzésekor felfedhetők voltak a felhasználói adatok.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8761: Renee Trisberg (SpectX)

Bejegyzés frissítve: 2020. augusztus 10., frissítve: 2021. július 21-én

UIFoundation

Érintett terület: Az ártó szándékkal létrehozott szövegfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8745: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

UIFoundation

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8831: riusksk (VulWar Corp), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva: 2019. november 18.

WebKit

Érintett terület: Az ártó szándékkal létrehozott webhelyek meglátogatásakor felfedhetők voltak a böngészési előzmények.

Leírás: Hibás volt a weboldalelemek megrajzolása. Hatékonyabb logikával hárítottuk el a problémát.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Érintett terület: Előfordult, hogy a felhasználó nem tudta törölni a böngészési előzményeket.

Leírás: Az „Előzmények és webhelyadatok törlése” funkció nem törölte az előzményeket. Az adattörlés javításával küszöböltük ki a problémát.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Wi-Fi

Érintett terület: A készülékek passzív módon nyomon követhetők voltak a Wi-Fi MAC-címük alapján.

Leírás: Egy felhasználói adatvédelmi probléma hárult el a szórási MAC-cím eltávolításával.

CVE-2019-8854: FuriousMacTeam (United States Naval Academy és Mitre Cooperation), Ta-Lun Yen (UCCU Hacker)

Bejegyzés hozzáadva: 2019. december 4., frissítve 2019. december 18.

További köszönetnyilvánítás

AppleRTC

Köszönjük Vitaly Cheptsov segítségét.

Bejegyzés hozzáadva: 2019. október 29.

Audio

Köszönjük riusksk (VulWar Corp, a Trend Micro Zero Day Initiative kezdeményezésének közreműködője) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

boringssl

Köszönjük Nimrod Aviram (Tel Aviv University), Robert Merget (Ruhr University Bochum), Juraj Somorovsky (Ruhr University Bochum), Thijs Alkemade (@xnyhps, Computest) segítségét.

Bejegyzés hozzáadva: 2019. október 8., frissítve: 2019. október 29.

curl

Köszönjük Joseph Barisa (The School District of Philadelphia) segítségét.

Bejegyzés frissítve: 2020. február 3., frissítve: 2020. február 11.

Finder

Köszönjük Fitzl Csaba (@theevilbit) segítségét.

Gatekeeper

Köszönjük Fitzl Csaba (@theevilbit) segítségét.

Identity Service

Köszönjük Yiğit Can YILMAZ (@yilmazcanyigit) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

Kernel

Köszönjük Brandon Azad (Google Project Zero) és Vlad Tsyrklevich segítségét.

Bejegyzés frissítve: 2020. július 28.

Local Authentication

Köszönjük Ryan Lopopolo segítségét.

Bejegyzés hozzáadva: 2020. február 3.

mDNSResponder

Köszönjük Gregor Lang (e.solutions GmbH) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

python

Köszönjük egy anonim kutató segítségét.

Bejegyzés hozzáadva: 2019. október 29.

Safari Data Importing

Köszönjük Kent Zoya segítségét.

Security

Köszönjük Pepijn Dutour Geerling (pepijn.io), egy anonim kutató segítségét.

Bejegyzés hozzáadva: 2019. november 18.

Simple certificate enrollment protocol (SCEP)

Köszönjük egy anonim kutató segítségét.

Siri

Köszönjük Yuval Ron, Amichai Shulman és Eli Biham (Technion of Israel Institute of Technology) segítségét.

Bejegyzés hozzáadva: 2019. december 4., frissítve 2019. december 18.

Telephony

Köszönjük Phil Stokes (SentinelOne) segítségét.

VPN

Köszönjük Royce Gawron (Second Son Consulting, Inc.) segítségét.

Bejegyzés hozzáadva: 2019. október 29.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: 2023. november 06.