Mengenai konten keamanan macOS Catalina 10.15.3, Pembaruan Keamanan 2020-001 Mojave, Pembaruan Keamanan 2020-001 High Sierra

Dokumen ini menjelaskan konten keamanan macOS Catalina 10.15.3, Pembaruan Keamanan 2020-001 Mojave, Pembaruan Keamanan 2020-001 High Sierra.

Mengenai pembaruan keamanan Apple

Demi melindungi pelanggan, Apple tidak mengungkapkan, membahas, atau mengonfirmasi masalah keamanan sebelum investigasi dilakukan dan perbaikan program atau rilis tersedia. Rilis terbaru tercantum pada halaman pembaruan keamanan Apple.

Dokumen keamanan Apple memberikan referensi mengenai kerentanan menurut CVE-ID jika memungkinkan.

Untuk informasi lebih lanjut mengenai keamanan, buka halaman Keamanan Produk Apple.

macOS Catalina 10.15.3, Pembaruan Keamanan 2020-001 Mojave, Pembaruan Keamanan 2020-001 High Sierra

AnnotationKit

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Penyerang jarak jauh dapat mengakibatkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer

Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.

CVE-2020-3877: peneliti anonim yang bekerja sama dengan Zero Day Initiative dari Trend Micro

apache_mod_php

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Beberapa masalah di PHP

Deskripsi: Beberapa masalah telah diatasi dengan memperbarui ke PHP versi 7.3.11.

CVE-2019-11043

Audio

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3857: Zhuo Liang dari Qihoo 360 Vulcan Team

autofs

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Mencari dan membuka file dari pemasangan NFS yang dikendalikan penyerang dapat menembus Gatekeeper

Deskripsi: Masalah ini telah diatasi dengan pemeriksaan tambahan oleh Gatekeeper di file yang dipasang melalui pembagian jaringan.

CVE-2020-3866: Jose Castro Almeida (@HackerOn2Wheels) dan René Kroka (@rene_kroka)

CoreBluetooth

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Penyerang jarak jauh dapat mengakibatkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2020-3848: Jianjun Dai dari Qihoo 360 Alpha Lab

CVE-2020-3849: Jianjun Dai dari Qihoo 360 Alpha Lab

CVE-2020-3850: Jianjun Dai dari Qihoo 360 Alpha Lab

CoreBluetooth

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Penyerang jarak jauh dapat membocorkan memori

Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.

CVE-2020-3847: Jianjun Dai dari Qihoo 360 Alpha Lab

Pelapor Crash

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Aplikasi berbahaya mungkin dapat mengakses file yang dibatasi

Deskripsi: Masalah validasi muncul saat menangani symlink. Masalah ini telah diatasi dengan validasi symlink yang ditingkatkan.

CVE-2020-3835: Csaba Fitzl (@theevilbit)

crontab

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3863: James Hutchins

Ditemukan di App

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Data terenkripsi mungkin diakses secara tidak tepat

Deskripsi: Terjadi masalah dengan akses Saran Siri ke data terenkripsi. Masalah ini diperbaiki dengan membatasi akses ke data terenkripsi.

CVE-2020-9774: Bob Gendler dari National Institute of Standards and Technology

Pemrosesan Gambar

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Menampilkan file JPEG perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2020-3827: Samuel Groß dari Google Project Zero

ImageIO

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Memproses gambar perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.

CVE-2020-3826: Samuel Groß dari Google Project Zero

CVE-2020-3870

CVE-2020-3878: Samuel Groß dari Google Project Zero

CVE-2020-3880: Samuel Groß dari Google Project Zero

Driver Intel Graphics

Tersedia untuk: macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3845: Zhuo Liang dari Qihoo 360 Vulcan Team

IOAcceleratorFamily

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3837: Brandon Azad dari Google Project Zero

IOThunderboltFamily

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi dapat memperoleh hak istimewa yang lebih tinggi

Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan pengelolaan memori yang ditingkatkan.

CVE-2020-3851: Xiaolong Bai dan Min (Spark) Zheng dari Alibaba Inc. dan Luyi Xing dari Indiana University Bloomington

IPSec

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Memuat file konfigurasi racoon perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah off-by-one muncul dalam penanganan file konfigurasi racoon. Masalah ini telah diatasi melalui pemeriksaan pembatasan yang ditingkatkan.

CVE-2020-3840: @littlelailo

Kernel

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi mungkin dapat membaca memori yang dibatasi

Deskripsi: Masalah validasi telah diatasi dengan pembersihan input yang ditingkatkan.

CVE-2020-3875: Brandon Azad dari Google Project Zero

Kernel

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi mungkin dapat membaca memori yang dibatasi

Deskripsi: Masalah inisialisasi memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3872: Haakon Garseg Mørk dari Cognite dan Cim Stordal dari Cognite

Kernel

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi perusak yang berbahaya dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah ketidakjelasan tipe telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3853: Brandon Azad dari Google Project Zero

Kernel

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi berbahaya mungkin dapat menentukan tata letak memori kernel

Deskripsi: Masalah akses telah diatasi dengan manajemen memori yang ditingkatkan.

CVE-2020-3836: Brandon Azad dari Google Project Zero

Kernel

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2020-3842: Ned Williamson bekerja sama dengan Google Project Zero

CVE-2020-3871: Corellium

libxml2

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Memproses XML perusak berbahaya dapat mengakibatkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer

Deskripsi: Kelebihan buffer telah diatasi dengan meningkatkan validasi ukuran.

CVE-2020-3846: Ranier Vilela

libxpc

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Memproses string berbahaya dapat mengakibatkan semakin banyaknya kerusakan

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2020-3856: Ian Beer dari Google Project Zero

libxpc

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi dapat memperoleh hak istimewa yang lebih tinggi

Deskripsi: Pembacaan di luar batas telah diatasi dengan pemeriksaan batas yang ditingkatkan.

CVE-2020-3829: Ian Beer dari Google Project Zero

PackageKit

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi berbahaya dapat menimpa file arbitrer

Deskripsi: Masalah validasi muncul saat menangani symlink. Masalah ini telah diatasi dengan validasi symlink yang ditingkatkan.

CVE-2020-3830: Csaba Fitzl (@theevilbit)

Keamanan

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi berbahaya mungkin dapat keluar dari sandbox

Deskripsi: Masalah logika telah diatasi dengan pembatasan yang ditingkatkan.

CVE-2020-3854: Jakob Rieck (@0xdead10cc) dan Maximilian Blochberger dari Security in Distributed Systems Group di University of Hamburg

sudo

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Konfigurasi tertentu dapat mengizinkan penyerang lokal menjalankan kode arbitrer

Deskripsi: Masalah kelebihan buffer telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2019-18634: Apple

Sistem

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Dampak: Aplikasi berbahaya dapat menimpa file arbitrer

Deskripsi: Masalah akses telah diatasi dengan pembatasan akses yang ditingkatkan.

CVE-2020-3855: Csaba Fitzl (@theevilbit)

Wi-Fi

Tersedia untuk: macOS Catalina 10.15.2

Dampak: Aplikasi mungkin dapat membaca memori yang dibatasi

Deskripsi: Masalah validasi telah diatasi dengan pembersihan input yang ditingkatkan.

CVE-2020-3839: s0ngsari dari Theori dan Lee dari Seoul National University bekerja sama dengan Zero Day Initiative dari Trend Micro

Wi-Fi

Tersedia untuk: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

Dampak: Penyerang jarak jauh mungkin dapat mengakibatkan sistem terhenti tiba-tiba atau memori kernel rusak

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2020-3843: Ian Beer dari Google Project Zero

wifivelocityd

Tersedia untuk: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah ini telah diatasi dengan logika izin yang ditingkatkan.

CVE-2020-3838: Dayton Pidhirney (@_watbulb)

Penghargaan tambahan

Penyimpanan Foto

Kami ucapkan terima kasih kepada Allison Husain dari UC Berkeley atas bantuannya.

SharedFileList

Kami ingin mengucapkan terima kasih kepada Patrick Wardle dari Jamf atas bantuannya.