A macOS Catalina 10.15.2 biztonsági változásjegyzéke, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

Ez a dokumentum a macOS Catalina 10.15.2 biztonsági változásjegyzékét, a Mojave 2019-002-es biztonsági frissítését és a High Sierra 2019-007-es biztonsági frissítését ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

A macOS Catalina 10.15.2, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

ATS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2019-8837: Fitzl Csaba (@theevilbit)

Bluetooth

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.

CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)

CallKit

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A Sirivel indított hívások nem a megfelelő mobil-előfizetést használták olyan készülékeken, amelyeken két előfizetés volt aktív.

Leírás: Egy API-probléma állt fenn a Sirivel indított kimenő telefonhívások kezelési módjában. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)

CFNetwork proxyk

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)

CFNetwork

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A magas hálózati jogosultságú támadók meg tudták kerülni a HSTS-t bizonyos olyan legfelső szintű tartományok esetén, amelyek korábban nem szerepeltek a HSTS előbetöltési listában.

Leírás: További korlátozásokkal elhárítottunk egy konfigurációs hibát.

CVE-2019-8834: Rob Sayre (@sayrer)

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Bizonyos konfigurációk esetén távoli támadók tetszőleges nyomtatási feladatokat tudtak elküldeni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8842: Niky1235 (China Mobile)

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8839: Stephan Zeisberg (Security Research Labs)

FaceTime

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy rosszindulatú videók FaceTime-on keresztül történő feldolgozásakor tetszőleges programkód végrehajtására nyílt lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2019-8830: natashenka (Google Project Zero)

IOGraphics

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy a Mac nem zárolta magát azonnal a felébredést követően.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2019-8851: Vladik Khononov (DoiT International)

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.

CVE-2019-8833: Ian Beer (Google Project Zero)

Kernel

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8828: Cim Stordal (Cognite)

CVE-2019-8838: Dr. Silvio Cesare (InfoSect)

CVE-2019-8847: Apple

CVE-2019-8852: pattern-f (@pattern_F_) (WaCai)

libexpat

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az ártó szándékkal létrehozott XML-fájlok elemzésekor előfordult, hogy napvilágra kerültek a felhasználói adatok.

Leírás: Az expat 2.2.8-as verziójára való frissítéssel hárítottuk el a problémát.

CVE-2019-15903: Joonun Jang

Megjegyzések

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A távoli támadók adott esetben felül tudtak írni meglévő fájlokat.

Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy, a könyvtárak elérési útjának kezelésében fennálló elemzési hibát.

CVE-2020-9782: Allison Husain of UC Berkeley

OpenLDAP

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az OpenLDAP több biztonsági rése.

Leírás: Több hibát elhárítottunk az OpenLDAP 2.4.28-as verziójára való frissítéssel.

CVE-2012-1164

CVE-2012-2668

CVE-2013-4449

CVE-2015-1545

CVE-2019-13057

CVE-2019-13565

Biztonság

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8832: Insu Yun (SSLab; Georgia Tech)

tcpdump

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A tcpdump több biztonsági rése.

Leírás: Több hibát elhárítottunk a tcpdump 4.9.3-as, illetve a libpcap 1.9.1-es verziójára való frissítéssel.

CVE-2017-16808

CVE-2018-10103

CVE-2018-10105

CVE-2018-14461

CVE-2018-14462

CVE-2018-14463

CVE-2018-14464

CVE-2018-14465

CVE-2018-14466

CVE-2018-14467

CVE-2018-14468

CVE-2018-14469

CVE-2018-14470

CVE-2018-14879

CVE-2018-14880

CVE-2018-14881

CVE-2018-14882

CVE-2018-16227

CVE-2018-16228

CVE-2018-16229

CVE-2018-16230

CVE-2018-16300

CVE-2018-16301

CVE-2018-16451

CVE-2018-16452

CVE-2019-15166

CVE-2019-15167

Wi-Fi

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: A Wi-Fi-hatókörön belül tartózkodó támadók meg tudták tekinteni a hálózati forgalom egy kis hányadát.

Leírás: Logikai probléma lépett fel az állapotváltások kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-15126: Milos Cermak (ESET)

További köszönetnyilvánítás

Fiókok

Köszönjük Allison Husain (UC Berkeley), Kishan Bagaria (KishanBagaria.com) és Tom Snelling (Loughborough University) segítségét.

Core Data

Köszönjük natashenka (Google Project Zero) segítségét.

Finder

Köszönjük Fitzl Csaba (@theevilbit) segítségét.

Kernel

Köszönjük Daniel Roethlisberger (Swisscom CSIRT) segítségét.