Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
A macOS Catalina 10.15.2, a Mojave 2019-002-es biztonsági frissítése és a High Sierra 2019-007-es biztonsági frissítése
Kiadási dátum: 2019. december 10.
ATS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások hozzá tudtak férni korlátozott fájlokhoz.
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2019-8837: Csaba Fitzl (@theevilbit)
Bejegyzés frissítve: 2019. december 18.
Bluetooth
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.
Leírás: Beviteltisztítással elhárítottunk egy érvényesítési hibát.
CVE-2019-8853: Jianjun Dai (Qihoo 360 Alpha Lab)
CallKit
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: A Sirivel indított hívások nem a megfelelő mobilhálózati díjcsomagot használták olyan készülékeken, amelyeken két csomag volt aktív.
Leírás: Egy API-probléma állt fenn a Sirivel indított kimenő telefonhívások kezelési módjában. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)
CFNetwork proxyk
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)
Bejegyzés frissítve: 2019. december 18.
CUPS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Bizonyos konfigurációk esetén távoli támadók tetszőleges nyomtatási feladatokat tudtak elküldeni.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2019-8842: Niky1235 (China Mobile)
Bejegyzés frissítve: 2019. december 18.
CUPS
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: A magas jogosultságú támadók szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb határérték-ellenőrzés révén kiküszöböltünk egy puffertúlcsordulást okozó problémát.
CVE-2019-8839: Stephan Zeisberg (Security Research Labs)
Bejegyzés frissítve: 2019. december 18.
FaceTime
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Előfordult, hogy rosszindulatú videók FaceTime-on keresztül történő feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határérték-olvasási hibát.
CVE-2019-8830: Natalie Silvanovich (Google Project Zero)
Bejegyzés frissítve: 2019. december 18.
Kernel
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Elhárítottunk egy memóriasérülési hibát a sebezhető kód eltávolításával.
CVE-2019-8833: Ian Beer (Google Project Zero)
Bejegyzés frissítve: 2019. december 18.
Kernel
A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.
Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8828: Cim Stordal (Cognite)
CVE-2019-8838: Dr. Silvio Cesare (InfoSect)
CVE-2019-8847: Apple
CVE-2019-8852: pattern-f (@pattern_F_) (WaCai)
libexpat
A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.
Érintett terület: Az ártó szándékkal létrehozott XML-fájlok elemzésekor felfedhetők voltak a felhasználói adatok.
Leírás: Az expat 2.2.8-as verziójára való frissítéssel hárult el a probléma.
CVE-2019-15903: Joonun Jang
Bejegyzés frissítve: 2019. december 18.
OpenLDAP
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: Az OpenLDAP több biztonsági rése.
Leírás: Több hibát elhárítottunk az OpenLDAP 2.4.28-as verziójára való frissítéssel.
CVE-2012-1164
CVE-2012-2668
CVE-2013-4449
CVE-2015-1545
CVE-2019-13057
CVE-2019-13565
Biztonság
A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.
Érintett terület: A rendszerszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.
CVE-2019-8832: Insu Yun (SSLab; Georgia Tech)
tcpdump
A következőkhöz érhető el: macOS Catalina 10.15.
Érintett terület: A tcpdump több biztonsági rése.
Leírás: Több hibát elhárítottunk a tcpdump 4.9.3-as, illetve a libpcap 1.9.1-es verziójára való frissítéssel.
CVE-2017-16808
CVE-2018-10103
CVE-2018-10105
CVE-2018-14461
CVE-2018-14462
CVE-2018-14463
CVE-2018-14464
CVE-2018-14465
CVE-2018-14466
CVE-2018-14467
CVE-2018-14468
CVE-2018-14469
CVE-2018-14470
CVE-2018-14879
CVE-2018-14880
CVE-2018-14881
CVE-2018-14882
CVE-2018-16227
CVE-2018-16228
CVE-2018-16229
CVE-2018-16230
CVE-2018-16300
CVE-2018-16301
CVE-2018-16451
CVE-2018-16452
CVE-2019-15161
CVE-2019-15162
CVE-2019-15163
CVE-2019-15164
CVE-2019-15165
CVE-2019-15166
CVE-2019-15167
További köszönetnyilvánítás
Fiókok
Köszönjük Kishan Bagaria (KishanBagaria.com) és Tom Snelling (Loughborough University) segítségét.
Core Data
Köszönjük Natalie Silvanovich (Google Project Zero) segítségét.
Finder
Köszönjük Fitzl Csaba (@theevilbit) segítségét.
Bejegyzés hozzáadva: 2019. december 18.
Kernel
Köszönjük Daniel Roethlisberger (Swisscom CSIRT) segítségét.
Bejegyzés hozzáadva: 2019. december 18.