Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
A macOS Catalina 10.15.2, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése
Kiadás dátuma: 2019. december 10.
ATS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2019-8837: Fitzl Csaba (@theevilbit)
Bejegyzés frissítve: 2019. december 18.
Bluetooth
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.
CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)
CallKit
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: A Sirivel indított hívások nem a megfelelő mobil-előfizetést használták olyan készülékeken, amelyeken két előfizetés volt aktív.
Leírás: Egy API-probléma állt fenn a Sirivel indított kimenő telefonhívások kezelési módjában. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)
CFNetwork proxyk
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)
Bejegyzés frissítve: 2019. december 18.
CFNetwork
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: A magas hálózati jogosultságú támadók meg tudták kerülni a HSTS-t bizonyos olyan legfelső szintű tartományok esetén, amelyek korábban nem szerepeltek a HSTS előbetöltési listában.
Leírás: További korlátozásokkal elhárítottunk egy konfigurációs hibát.
CVE-2019-8834: Rob Sayre (@sayrer)
Bejegyzés hozzáadva: 2020. február 3.
CUPS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Bizonyos konfigurációk esetén távoli támadók tetszőleges nyomtatási feladatokat tudtak elküldeni.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2019-8842: Niky1235 (China Mobile)
Bejegyzés frissítve: 2019. december 18.
CUPS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2019-8839: Stephan Zeisberg (Security Research Labs)
Bejegyzés frissítve: 2019. december 18.
FaceTime
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Előfordult, hogy rosszindulatú videók FaceTime-on keresztül történő feldolgozásakor tetszőleges programkód végrehajtására nyílt lehetőség.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2019-8830: Natalie Silvanovich (Google Project Zero)
Bejegyzés frissítve: 2019. december 18.
IOGraphics
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Előfordult, hogy a Mac nem zárolta magát azonnal a felébredést követően.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.
CVE-2019-8851: Vladik Khononov (DoiT International)
Bejegyzés hozzáadva: 2020. február 3.
Kernel
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.
CVE-2019-8833: Ian Beer (Google Project Zero)
Bejegyzés frissítve: 2019. december 18.
Kernel
A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8828: Cim Stordal (Cognite)
CVE-2019-8838: Dr. Silvio Cesare (InfoSect)
CVE-2019-8847: Apple
CVE-2019-8852: pattern-f (@pattern_F_) (WaCai)
libexpat
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Az ártó szándékkal létrehozott XML-fájlok elemzésekor előfordult, hogy napvilágra kerültek a felhasználói adatok.
Leírás: Az expat 2.2.8-as verziójára való frissítéssel hárítottuk el a problémát.
CVE-2019-15903: Joonun Jang
Bejegyzés frissítve: 2019. december 18.
Megjegyzések
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: A távoli támadók adott esetben felül tudtak írni meglévő fájlokat.
Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy elemzési hibát, amely a könyvtárak elérési útjának kezelésekor lépett fel.
CVE-2020-9782: Allison Husain of UC Berkeley
Bejegyzés hozzáadva: 2020. április 4.
OpenLDAP
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Az OpenLDAP több biztonsági rése.
Leírás: Több hibát elhárítottunk az OpenLDAP 2.4.28-as verziójára való frissítéssel.
CVE-2012-1164
CVE-2012-2668
CVE-2013-4449
CVE-2015-1545
CVE-2019-13057
CVE-2019-13565
Bejegyzés frissítve: 2020. február 3.
Biztonság
A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8832: Insu Yun (SSLab; Georgia Tech)
tcpdump
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: A tcpdump több biztonsági rése.
Leírás: Több hibát elhárítottunk a tcpdump 4.9.3-as, illetve a libpcap 1.9.1-es verziójára való frissítéssel.
CVE-2017-16808
CVE-2018-10103
CVE-2018-10105
CVE-2018-14461
CVE-2018-14462
CVE-2018-14463
CVE-2018-14464
CVE-2018-14465
CVE-2018-14466
CVE-2018-14467
CVE-2018-14468
CVE-2018-14469
CVE-2018-14470
CVE-2018-14879
CVE-2018-14880
CVE-2018-14881
CVE-2018-14882
CVE-2018-16227
CVE-2018-16228
CVE-2018-16229
CVE-2018-16230
CVE-2018-16300
CVE-2018-16301
CVE-2018-16451
CVE-2018-16452
CVE-2019-15166
CVE-2019-15167
Bejegyzés frissítve: 2020. február 11.
Wi-Fi
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.
Érintett terület: A Wi-Fi-hatókörön belül tartózkodó támadók meg tudták tekinteni a hálózati forgalom egy kis hányadát.
Leírás: Logikai probléma lépett fel az állapotváltások kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
CVE-2019-15126: Milos Cermak (ESET)
Bejegyzés hozzáadva: 2020. február 27.
További köszönetnyilvánítás
Fiókok
Köszönjük Allison Husain (UC Berkeley), Kishan Bagaria (KishanBagaria.com) és Tom Snelling (Loughborough University) segítségét.
Bejegyzés frissítve: 2020. április 4.
Core Data
Köszönjük Natalie Silvanovich (Google Project Zero) segítségét.
Finder
Köszönjük Fitzl Csaba (@theevilbit) segítségét.
Bejegyzés hozzáadva: 2019. december 18.
Kernel
Köszönjük Daniel Roethlisberger (Swisscom CSIRT) segítségét.
Bejegyzés hozzáadva: 2019. december 18.