A macOS Catalina 10.15.2 biztonsági változásjegyzéke, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

Ez a dokumentum a macOS Catalina 10.15.2 biztonsági változásjegyzékét, a Mojave 2019-002-es biztonsági frissítését és a High Sierra 2019-007-es biztonsági frissítését ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

A macOS Catalina 10.15.2, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése

Kiadási dátum: 2019. december 10.

ATS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2019-8837: Csaba Fitzl (@theevilbit)

Bejegyzés frissítve: 2019. december 18.

Bluetooth

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.

CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)

CallKit

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A Sirivel indított hívások nem a megfelelő mobilhálózati díjcsomagot használták olyan készülékeken, amelyeken két csomag volt aktív.

Leírás: Egy API-probléma állt fenn a Sirivel indított kimenő telefonhívások kezelési módjában. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)

CFNetwork proxyk

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)

Bejegyzés frissítve: 2019. december 18.

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Bizonyos konfigurációk esetén távoli támadók tetszőleges nyomtatási feladatokat tudtak elküldeni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8842: Niky1235 (China Mobile)

Bejegyzés frissítve: 2019. december 18.

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2019-8839: Stephan Zeisberg (Security Research Labs)

Bejegyzés frissítve: 2019. december 18.

FaceTime

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Előfordult, hogy rosszindulatú videók FaceTime-on keresztül történő feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határérték-olvasási hibát.

CVE-2019-8830: Natalie Silvanovich (Google Project Zero)

Bejegyzés frissítve: 2019. december 18.

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.

CVE-2019-8833: Ian Beer (Google Project Zero)

Bejegyzés frissítve: 2019. december 18.

Kernel

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8828: Cim Stordal (Cognite)

CVE-2019-8838: Dr. Silvio Cesare (InfoSect)

CVE-2019-8847: Apple

CVE-2019-8852: pattern-f (@pattern_F_) (WaCai)

libexpat

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.

Érintett terület: Az ártó szándékkal létrehozott XML-fájlok elemzésekor felfedhetők voltak a felhasználói adatok.

Leírás: Az expat 2.2.8-as verziójára való frissítéssel hárult el a probléma.

CVE-2019-15903: Joonun Jang

Bejegyzés frissítve: 2019. december 18.

OpenLDAP

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: Az OpenLDAP több biztonsági rése.

Leírás: Több hibát elhárítottunk az OpenLDAP 2.4.28-as verziójára való frissítéssel.

CVE-2012-1164

CVE-2012-2668

CVE-2013-4449

CVE-2015-1545

CVE-2019-13057

CVE-2019-13565

Biztonság

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.

Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2019-8832: Insu Yun (SSLab; Georgia Tech)

tcpdump

A következőkhöz érhető el: macOS Catalina 10.15.

Érintett terület: A tcpdump több biztonsági rése.

Leírás: Több hibát elhárítottunk a tcpdump 4.9.3-as, illetve a libpcap 1.9.1-es verziójára való frissítéssel.

CVE-2017-16808

CVE-2018-10103

CVE-2018-10105

CVE-2018-14461

CVE-2018-14462

CVE-2018-14463

CVE-2018-14464

CVE-2018-14465

CVE-2018-14466

CVE-2018-14467

CVE-2018-14468

CVE-2018-14469

CVE-2018-14470

CVE-2018-14879

CVE-2018-14880

CVE-2018-14881

CVE-2018-14882

CVE-2018-16227

CVE-2018-16228

CVE-2018-16229

CVE-2018-16230

CVE-2018-16300

CVE-2018-16301

CVE-2018-16451

CVE-2018-16452

CVE-2019-15161

CVE-2019-15162

CVE-2019-15163

CVE-2019-15164

CVE-2019-15165

CVE-2019-15166

CVE-2019-15167

További köszönetnyilvánítás

Fiókok

Köszönjük Kishan Bagaria (KishanBagaria.com) és Tom Snelling (Loughborough University) segítségét.

Core Data

Köszönjük Natalie Silvanovich (Google Project Zero) segítségét.

Finder

Köszönjük Fitzl Csaba (@theevilbit) segítségét.

Bejegyzés hozzáadva: 2019. december 18.

Kernel

Köszönjük Daniel Roethlisberger (Swisscom CSIRT) segítségét.

Bejegyzés hozzáadva: 2019. december 18.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: