Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
macOS Monterey 12.7.1
Kiadási dátum: 2023. október 25.
Automation
A következőhöz érhető el: macOS Monterey.
Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások hozzá tudtak férni személyes információkhoz.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-42952: Zhipeng Huo (@R3dF09, Tencent Security Xuanwu Lab, xlab.tencent.com)
Bejegyzés hozzáadva 2024. január 16-án.
CoreAnimation
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az appok szolgáltatásmegtagadást tudtak előidézni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-40449: Tomi Tokics (@tomitokics, iTomsn0w)
Core Recents
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: A naplózás megtisztításával orvosoltuk a problémát.
CVE-2023-42823
Bejegyzés hozzáadva 2024. január 16-án.
FileProvider
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az appok szolgáltatásmegtagadást tudtak előidézni az Endpoint Security-klienseknél.
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2023-42854: Noah Roskin-Frazee és Prof. J. (ZeroClicks.ai Lab)
Find My
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat
Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-40413: Adam M.
Foundation
A következőhöz érhető el: macOS Monterey.
Érintett terület: A weboldalak adott esetben hozzá tudtak férni bizalmas felhasználói adatokhoz szimbolikus hivatkozások feloldásakor.
Leírás: A szimbolikus hivatkozások hatékonyabb kezelésével hárítottuk el a problémát.
CVE-2023-42844: Ron Masas (BreakPoint.SH)
libc
A következőhöz érhető el: macOS Monterey.
Hatás: Az ártó szándékkal módosított bemenet feldolgozása tetszőleges kódfuttatáshoz vezethet a felhasználó által telepített alkalmazásokban.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-40446: inooo
Bejegyzés hozzáadva: 2023. november 3.
ImageIO
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egy kép feldolgozása lehetőséget adott folyamatmemória közzétételére.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-40416: JZ
IOTextEncryptionFamily
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-40423: anonim kutató
Kernel
A következőhöz érhető el: macOS Monterey.
Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória használatára vonatkozó korlátozásokat.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-42849: Linus Henze (Pinauten GmbH, pinauten.de)
Model I/O
A következőhöz érhető el: macOS Monterey.
Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2023-42856: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)
PackageKit
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-42859: Arsenii Kostromin (0x3c3e), Mickey Jin (@patch1t) és Hevel Engineering
CVE-2023-42877: Arsenii Kostromin (0x3c3e)
Bejegyzés hozzáadva 2024. január 16-án.
PackageKit
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-42840: Mickey Jin (@patch1t), Fitzl Csaba (@theevilbit, Offensive Security)
Bejegyzés hozzáadva 2024. január 16-án.
PackageKit
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egy alkalmazás potenciálisan meg tudott kerülni bizonyos adatvédelmi beállításokat
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-42889: Mickey Jin (@patch1t)
Bejegyzés hozzáadva 2024. január 16-án.
PackageKit
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2023-42853: Mickey Jin (@patch1t)
Bejegyzés hozzáadva 2024. január 16-án.
PackageKit
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit
Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.
CVE-2023-42860: Koh M. Nakagawa (@tsunek0h, FFRI Security, Inc.)
Bejegyzés hozzáadva 2024. január 16-án.
Pro Res
A következőhöz érhető el: macOS Monterey.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
CVE-2023-42873: Mingxuan Yang (@PPPF00L), happybabywu és Guang Gong (360 Vulnerability Research Institute)
Bejegyzés hozzáadva 2024. január 16-án.
Sandbox
A következőhöz érhető el: macOS Monterey.
Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások hozzá tudtak férni személyes információkhoz.
Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.
CVE-2023-40425: Fitzl Csaba (@theevilbit; Offensive Security)
SQLite
A következőhöz érhető el: macOS Monterey.
Érintett terület: A távoli támadó szolgáltatásmegtagadást tudott előidézni.
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.
CVE-2023-36191
Bejegyzés hozzáadva 2024. január 16-án.
talagent
A következőhöz érhető el: macOS Monterey
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.
CVE-2023-40421: Noah Roskin-Frazee és Prof. J. (ZeroClicks.ai Lab)
WindowServer
A következőhöz érhető el: macOS Monterey.
Érintett terület: A webhelyek adott esetben hozzá tudtak férni a mikrofonhoz úgy, hogy a mikrofonhasználatot jelző ikon nem jelent meg.
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2023-41975: anonim kutató
WindowServer
A következőhöz érhető el: macOS Monterey.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2023-42858: anonim kutató
Bejegyzés hozzáadva 2024. január 16-án.
További köszönetnyilvánítás
GPU Drivers
Köszönjük egy anonim kutató segítségét.
libarchive
Köszönjük Bahaa Naamneh segítségét.
libxml2
Köszönjük OSS-Fuzz, Ned Williamson (Google Project Zero) segítségét.