A macOS Catalina 10.15.2 biztonsági változásjegyzéke, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

Ez a dokumentum a macOS Catalina 10.15.2 biztonsági változásjegyzékét, a Mojave 2019-002-es biztonsági frissítését és a High Sierra 2019-007-es biztonsági frissítését ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

A macOS Catalina 10.15.2, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

Kiadás dátuma: 2019. december 10.

ATS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2019-8837: Fitzl Csaba (@theevilbit)

Bejegyzés frissítve: 2019. december 18.

Bluetooth

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.

CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)

CallKit

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A Sirivel indított hívások nem a megfelelő mobil-előfizetést használták olyan készülékeken, amelyeken két előfizetés volt aktív.

Leírás: Egy API-probléma állt fenn a Sirivel indított kimenő telefonhívások kezelési módjában. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)

CFNetwork proxyk

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)

Bejegyzés frissítve: 2019. december 18.

CFNetwork

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A magas hálózati jogosultságú támadók meg tudták kerülni a HSTS-t bizonyos olyan legfelső szintű tartományok esetén, amelyek korábban nem szerepeltek a HSTS előbetöltési listában.

Leírás: További korlátozásokkal elhárítottunk egy konfigurációs hibát.

CVE-2019-8834: Rob Sayre (@sayrer)

Bejegyzés hozzáadva: 2020. február 3.

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Bizonyos konfigurációk esetén távoli támadók tetszőleges nyomtatási feladatokat tudtak elküldeni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8842: Niky1235 (China Mobile)

Bejegyzés frissítve: 2019. december 18.

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8839: Stephan Zeisberg (Security Research Labs)

Bejegyzés frissítve: 2019. december 18.

FaceTime

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy rosszindulatú videók FaceTime-on keresztül történő feldolgozásakor tetszőleges programkód végrehajtására nyílt lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2019-8830: Natalie Silvanovich (Google Project Zero)

Bejegyzés frissítve: 2019. december 18.

IOGraphics

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy a Mac nem zárolta magát azonnal a felébredést követően.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2019-8851: Vladik Khononov (DoiT International)

Bejegyzés hozzáadva: 2020. február 3.

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.

CVE-2019-8833: Ian Beer (Google Project Zero)

Bejegyzés frissítve: 2019. december 18.

Kernel

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8828: Cim Stordal (Cognite)

CVE-2019-8838: Dr. Silvio Cesare (InfoSect)

CVE-2019-8847: Apple

CVE-2019-8852: pattern-f (@pattern_F_) (WaCai)

libexpat

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az ártó szándékkal létrehozott XML-fájlok elemzésekor előfordult, hogy napvilágra kerültek a felhasználói adatok.

Leírás: Az expat 2.2.8-as verziójára való frissítéssel hárítottuk el a problémát.

CVE-2019-15903: Joonun Jang

Bejegyzés frissítve: 2019. december 18.

Megjegyzések

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A távoli támadók adott esetben felül tudtak írni meglévő fájlokat.

Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy elemzési hibát, amely a könyvtárak elérési útjának kezelésekor lépett fel.

CVE-2020-9782: Allison Husain of UC Berkeley

Bejegyzés hozzáadva: 2020. április 4.

OpenLDAP

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az OpenLDAP több biztonsági rése.

Leírás: Több hibát elhárítottunk az OpenLDAP 2.4.28-as verziójára való frissítéssel.

CVE-2012-1164

CVE-2012-2668

CVE-2013-4449

CVE-2015-1545

CVE-2019-13057

CVE-2019-13565

Bejegyzés frissítve: 2020. február 3.

Biztonság

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8832: Insu Yun (SSLab; Georgia Tech)

tcpdump

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A tcpdump több biztonsági rése.

Leírás: Több hibát elhárítottunk a tcpdump 4.9.3-as, illetve a libpcap 1.9.1-es verziójára való frissítéssel.

CVE-2017-16808

CVE-2018-10103

CVE-2018-10105

CVE-2018-14461

CVE-2018-14462

CVE-2018-14463

CVE-2018-14464

CVE-2018-14465

CVE-2018-14466

CVE-2018-14467

CVE-2018-14468

CVE-2018-14469

CVE-2018-14470

CVE-2018-14879

CVE-2018-14880

CVE-2018-14881

CVE-2018-14882

CVE-2018-16227

CVE-2018-16228

CVE-2018-16229

CVE-2018-16230

CVE-2018-16300

CVE-2018-16301

CVE-2018-16451

CVE-2018-16452

CVE-2019-15166

CVE-2019-15167

Bejegyzés frissítve: 2020. február 11.

Wi-Fi

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: A Wi-Fi-hatókörön belül tartózkodó támadók meg tudták tekinteni a hálózati forgalom egy kis hányadát.

Leírás: Logikai probléma lépett fel az állapotváltások kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-15126: Milos Cermak (ESET)

Bejegyzés hozzáadva: 2020. február 27.

További köszönetnyilvánítás

Fiókok

Köszönjük Allison Husain (UC Berkeley), Kishan Bagaria (KishanBagaria.com) és Tom Snelling (Loughborough University) segítségét.

Bejegyzés frissítve: 2020. április 4.

Core Data

Köszönjük Natalie Silvanovich (Google Project Zero) segítségét.

Finder

Köszönjük Fitzl Csaba (@theevilbit) segítségét.

Bejegyzés hozzáadva: 2019. december 18.

Kernel

Köszönjük Daniel Roethlisberger (Swisscom CSIRT) segítségét.

Bejegyzés hozzáadva: 2019. december 18.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: