A macOS Big Sur 11.1 rendszernek, a Catalina 2020-001-es biztonsági frissítésének és a Mojave 2020-007-es biztonsági frissítésének a biztonsági változásjegyzéke

Ez a dokumentum a macOS Big Sur 11.1 rendszernek, a Catalina 2020-001-es biztonsági frissítésének és a Mojave 2020-007-es biztonsági frissítésének a biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

macOS Big Sur 11.1, a Catalina 2020-001-es biztonsági frissítése, a Mojave 2020-007-es biztonsági frissítése

Kiadási dátum: 2020. december 14.

AMD

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rendszerszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-27914: Yu Wang (Didi Research America)

CVE-2020-27915: Yu Wang (Didi Research America)

AMD

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A helyi felhasználók váratlan rendszerleállást tudtak előidézni, illetve olvasni tudták a kernelmemóriát.

Leírás: Egy határértéken kívüli olvasási hiba miatt felfedhető volt a kernelmemória tartalma. Hatékonyabb bevitel-ellenőrzéssel hárítottuk el a problémát.

CVE-2020-27936: Yu Wang (Didi Research America)

Bejegyzés hozzáadva: 2021. február 1.

App Store

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: A sebezhető kód eltávolításával hárítottuk el a problémát.

CVE-2020-27903: Zhipeng Huo (@R3dF09; Tencent Security Xuanwu Lab)

AppleGraphicsControl

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.

CVE-2020-27941: shrek_wzw

AppleMobileFileIntegrity

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A rosszindulatú alkalmazások meg tudták kerülni az adatvédelmi beállításokat.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2020-29621: Wojciech Reguła (@_r3ggi; SecuRing)

Hang

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor felfedhető volt a korlátozott memória.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-29610: anonim kutató, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Bejegyzés hozzáadva 2021. március 16-án.

Hang

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-27910: JunDong Xie és XingWei Lin (Ant Security Light-Year Lab)

Hang

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rosszindulatú alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2020-9943: JunDong Xie (Ant Security Light-Year Lab)

Hang

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2020-9944: JunDong Xie (Ant Security Light-Year Lab)

Hang

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2020-27916: JunDong Xie (Ant Security Light-Year Lab)

Bluetooth

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A távoli támadók váratlan alkalmazásleállást, illetve halommemória-sérülést tudtak előidézni.

Leírás: Hatékonyabb bevitel-ellenőrzéssel hárítottunk el több egészszám-túlcsordulási problémát.

CVE-2020-27906: Zuozhi Fan (@pattern_F_; Ant Group Tianqiong Security Lab)

CoreAudio

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2020-27948: JunDong Xie (Ant Security Light-Year Lab)

CoreAudio

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-27908: anonim kutató, a Trend Micro Zero Day Initiative közreműködőjeként, JunDong Xie és XingWei Lin (Ant Security Light-Year Lab)

CVE-2020-9960: JunDong Xie és Xingwei Lin (Ant Security Light-Year Lab)

A bejegyzés frissítve: 2021. március 16.

CoreAudio

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott hangfájlok feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2020-10017: Francis, a Trend Micro Zero Day Initiative közreműködőjeként, JunDong Xie (Ant Security Light-Year Lab)

CoreText

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-27922: Mickey Jin (Trend Micro)

CUPS

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rosszindulatú alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.

CVE-2020-10001: Niky <kittymore83@gmail.com> (China Mobile)

Bejegyzés hozzáadva: 2021. február 1.

FontParser

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott betűtípusok feldolgozása lehetőséget adott a folyamatmemória közzétételére.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy adatfelfedési problémát.

CVE-2020-27946: Mateusz Jurczyk (Google Project Zero)

FontParser

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb méretellenőrzéssel kiküszöböltünk egy puffertúlcsordulást okozó problémát.

CVE-2020-9962: Yiğit Can YILMAZ (@yilmazcanyigit)

FontParser

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2020-27952: anonim kutató, Mickey Jin és Junzhi Lu (Trend Micro)

FontParser

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-9956: Mickey Jin és Junzhi Lu (Trend Micro Mobile Security Research Team), a Trend Micro Zero Day Initiative közreműködőjeként

FontParser

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott betűtípusfájlok feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Memóriasérülést okozó hiba lépett fel a betűtípusfájlok feldolgozásakor. Hatékonyabb bevitel-ellenőrzéssel hárítottuk el a problémát.

CVE-2020-27931: Apple

CVE-2020-27943: Mateusz Jurczyk (Google Project Zero)

CVE-2020-27944: Mateusz Jurczyk (Google Project Zero)

CVE-2020-29624: Mateusz Jurczyk (Google Project Zero)

Bejegyzés frissítve: 2020. december 22.

FontParser

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A távoli támadók ki tudtak szivárogtatni memóriát.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli olvasási hibát.

CVE-2020-29608: Xingwei Lin (Ant Security Light-Year Lab)

Bejegyzés hozzáadva: 2021. február 1.

Foundation

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A helyi felhasználók olvasni tudtak tetszőleges fájlokat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-10002: James Hutchins

Grafikus illesztőprogramok

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-27947: ABC Research s.r.o., a Trend Micro Zero Day Initiative közreműködőjeként, Liu Long (Ant Security Light-Year Lab)

A bejegyzés frissítve: 2021. március 16.

Grafikus illesztőprogramok

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: A rendszerszintű jogosultsággal rendelkező rosszindulatú alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2020-29612: ABC Research s.r.o., a Trend Micro Zero Day Initiative közreműködőjeként

HomeKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A magas hálózati jogosultságú támadók váratlanul módosítani tudták az alkalmazások állapotát.

Leírás: Hatékonyabb beállításpropagálással hárítottuk el a problémát.

CVE-2020-9978: Luyi Xing, Dongfang Zhao és Xiaofeng Wang (Indiana University Bloomington), Yan Jia (Xidian University és University of Chinese Academy of Sciences) és Bin Yuan (HuaZhong University of Science and Technology)

ImageIO

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2020-27939: Xingwei Lin (Ant Security Light-Year Lab)

CVE-2020-29625: XingWei Lin (Ant Security Light-Year Lab)

Bejegyzés hozzáadva: 2020. december 22., frissítve: 2021. február 1.

ImageIO

A következőkhöz érhető el: macOS Catalina 10.15.7, macOS Big Sur 11.0.1.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor szolgáltatásmegtagadás lépett fel.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-29615: Xingwei Lin (Ant Security Light-Year Lab)

Bejegyzés hozzáadva: 2021. február 1.

ImageIO

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-29616: zhouat, a Trend Micro Zero Day Initiative közreműködőjeként

ImageIO

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-27924: Lei Sun

CVE-2020-29618: XingWei Lin (Ant Security Light-Year Lab)

ImageIO

A következőkhöz érhető el: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2020-29611: Alexandru-Vlad Niculae, a Google Project Zero közreműködőjeként

Bejegyzés frissítve: 2020. december 17.

ImageIO

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor sérült a halommemória.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-29617: XingWei Lin (Ant Security Light-Year Lab)

CVE-2020-29619: XingWei Lin (Ant Security Light-Year Lab)

ImageIO

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2020-27912: Xingwei Lin (Ant Security Light-Year Lab)

CVE-2020-27923: Lei Sun

Képfeldolgozás

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.

CVE-2020-27919: Hou JingYi (@hjy79425575, Qihoo 360 CERT), Xingwei Lin (Ant Security Light-Year Lab)

Intel grafikus illesztőprogram

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2020-10015: ABC Research s.r.o., a Trend Micro Zero Day Initiative közreműködőjeként

CVE-2020-27897: Xiaolong Bai és Min (Spark) Zheng (Alibaba Inc.) és Luyi Xing (Indiana University Bloomington)

Intel grafikus illesztőprogram

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-27907: ABC Research s.r.o., a Trend Micro Zero Day Initiative közreműködőjeként, Liu Long (Ant Security Light-Year Lab)

A bejegyzés frissítve: 2021. március 16.

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-9974: Tommy Muir (@Muirey03)

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-10016: Alex Helie

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A távoli támadók váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk több memóriasérüléssel kapcsolatos problémát.

CVE-2020-9967: Alex Plaskett (@alexjplaskett)

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-9975: Tielei Wang (Pangu Lab)

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A kernelszintű jogosultsággal rendelkező alkalmazások tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy versenyhelyzeti problémát.

CVE-2020-27921: Linus Henze (pinauten.de)

Kernel

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7, macOS Big Sur 11.0.1

Érintett terület: A rosszindulatú alkalmazások váratlan változásokat tudtak előidézni a DTrace által követett folyamatokhoz tartozó memóriában.

Leírás: Úgy hárítottuk el a problémát, hogy hatékonyabb ellenőrzéseket vezettünk be a jogosulatlan műveletek megakadályozására.

CVE-2020-27949: Steffen Klee (@_kleest, TU Darmstadt), Secure Mobile Networking Lab

Kernel

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A rosszindulatú alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: A jogosultságok megadásának javításával hárítottuk el a problémát.

CVE-2020-29620: Fitzl Csaba (@theevilbit; Offensive Security)

libxml2

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A távoli támadók váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottak egy egészszám-túlcsordulást okozó problémát.

CVE-2020-27911: megtaláló: OSS-Fuzz

libxml2

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-27920: megtaláló: OSS-Fuzz

libxml2

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-27926: megtaláló: OSS-Fuzz

libxpc

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rosszindulatú alkalmazások adott esetben ki tudtak törni a sandboxból.

Leírás: Az elérési útvonalak hatékonyabb ellenőrzésével elhárítottunk egy, a könyvtárak elérési útjának kezelésében fennálló elemzési hibát.

CVE-2020-10014: Zhipeng Huo (@R3dF09; Tencent Security Xuanwu Lab)

Naplózás

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Előfordult, hogy egy helyi támadó magasabb szintű jogosultságokat tudott szerezni magának.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.

CVE-2020-10010: Tommy Muir (@Muirey03)

Bejelentkezési ablak

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A magas hálózati jogosultságú támadók megkerülhették a hitelesítési szabályzatokat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.

CVE-2020-29633: Jewel Lambert (Original Spin, LLC.)

Bejegyzés hozzáadva: 2021. február 1.

Model I/O

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor sérült a halommemória.

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2020-29614: ZhiWei Sun(@5n1p3r0010; Topsec Alpha Lab)

Bejegyzés hozzáadva: 2021. február 1.

Model I/O

A következőhöz érhető el: macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott USD-fájlok feldolgozása váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli írási hibát.

CVE-2020-13520: Aleksandar Nikolic (Cisco Talos)

Bejegyzés hozzáadva: 2021. február 1.

Model I/O

A következőkhöz érhető el: macOS Catalina 10.15.7, macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott USD-fájlok feldolgozása váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb memóriakezeléssel hárítottunk el egy puffertúlcsordulást okozó problémát.

CVE-2020-9972: Aleksandar Nikolic (Cisco Talos)

Bejegyzés hozzáadva: 2021. február 1.

Model I/O

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott USD-fájlok feldolgozása váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.

CVE-2020-13524: Aleksandar Nikolic (Cisco Talos)

Model I/O

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott fájlok megnyitása váratlan alkalmazásleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-10004: Aleksandar Nikolic (Cisco Talos)

NSRemoteView

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A sandboxban lévő folyamatok meg tudták kerülni a sandbox-korlátozásokat.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2020-27901: Thijs Alkemade (Computest Research Division)

Energiagazdálkodás

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: A rosszindulatú alkalmazások magasabb szintű jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-27938: Tim Michaud (@TimGMichaud, Leviathan)

Bejegyzés hozzáadva: 2021. február 1.

Energiagazdálkodás

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A rosszindulatú alkalmazások meg tudták állapítani a kernelmemória felépítését.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-10007: singi@theori, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

Gyorsnézet

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Az ártó szándékkal létrehozott dokumentumok feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb hozzáférés-korlátozással hárítottunk el egy hozzáférési problémát.

CVE-2020-10012: Heige (KnownSec 404 Team – knownsec.com) és Bo Qu (Palo Alto Networks – paloaltonetworks.com)

Ruby

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A távoli támadók módosítani tudták a fájlrendszert.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.

CVE-2020-27896: anonim kutató

Rendszerbeállítások

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: A sandboxban lévő folyamatok meg tudták kerülni a sandbox-korlátozásokat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2020-10009: Thijs Alkemade (Computest Research Division)

WebKit-tároló

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Előfordult, hogy a felhasználó nem tudta teljes mértékben törölni a böngészési előzményeket.

Leírás: Az „Előzmények és webhelyadatok törlése” funkció nem törölte az előzményeket. Az adattörlés javításával küszöböltük ki a problémát.

CVE-2020-29623: Simon Hunt (OvalTwo LTD)

Bejegyzés hozzáadva: 2021. február 1.

WebRTC

A következőhöz érhető el: macOS Big Sur 11.0.1.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-15969: anonim kutató

Wi-Fi

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS Catalina 10.15.7.

Érintett terület: Támadók megkerülhették a Managed Frame Protection szolgáltatást.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy szolgáltatásmegtagadási hibát.

CVE-2020-27898: Stephan Marais (University of Johannesburg)

 

További köszönetnyilvánítás

CoreAudio

Köszönjük JunDong Xie és Xingwei Lin (Ant Security Light-Year Security Lab) segítségét.

Bejegyzés hozzáadva 2021. március 16-án.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: