Mengenai konten keamanan macOS Ventura 13.4
Dokumen ini menjelaskan konten keamanan macOS Ventura 13.4.
Mengenai pembaruan keamanan Apple
Demi melindungi pelanggan, Apple tidak mengungkapkan, membahas, atau mengonfirmasi masalah keamanan sebelum investigasi dilakukan dan perbaikan program atau rilis tersedia. Rilis terbaru tercantum pada halaman pembaruan keamanan Apple.
Dokumen keamanan Apple memberikan referensi mengenai kerentanan menurut CVE-ID jika memungkinkan.
Untuk informasi lebih lanjut mengenai keamanan, buka halaman Keamanan Produk Apple.
macOS Ventura 13.4
Dirilis pada 18 Mei 2023
Accessibility
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah ini telah diatasi dengan penyamaran informasi sensitif yang ditingkatkan untuk entri log.
CVE-2023-32388: Kirin (@Pwnrin)
Accessibility
Tersedia untuk: macOS Ventura
Dampak: Hak dan izin privasi yang diberikan ke app ini dapat digunakan oleh app berbahaya
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32400: Mickey Jin (@patch1t)
Accounts
Tersedia untuk: macOS Ventura
Dampak: Penyerang mungkin dapat membocorkan email akun pengguna
Deskripsi: Masalah izin telah diatasi dengan penyamaran informasi sensitif yang lebih baik.
CVE-2023-34352: Sergii Kryvoblotskyi dari MacPaw Inc.
Entri ditambahkan pada 5 September 2023
AMD
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Masalah kelebihan buffer telah diatasi dengan penanganan memori yang ditingkatkan.
CVE-2023-32379: ABC Research s.r.o.
Entri ditambahkan pada 5 September 2023
AppleMobileFileIntegrity
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah ini telah diatasi dengan penetapan hak yang ditingkatkan.
CVE-2023-32411: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat menginjeksikan kode ke dalam biner sensitif yang dibundel dengan Xcode
Deskripsi: Masalah ini telah diatasi dengan mengaktifkan hardened runtime secara paksa pada biner yang terdampak di tingkat sistem.
CVE-2023-32383: James Duffy (mangoSecure)
Entri ditambahkan pada 21 Desember 2023
Associated Domains
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat keluar dari sandbox
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32371: James Duffy (mangoSecure)
Contacts
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengamati data pengguna yang tidak terlindungi
Deskripsi: Masalah privasi telah diatasi dengan penanganan file sementara yang ditingkatkan.
CVE-2023-32386: Kirin (@Pwnrin)
Core Location
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat membaca informasi lokasi yang sensitif
Deskripsi: Masalah telah diatasi dengan penanganan cache yang ditingkatkan.
CVE-2023-32399: Adam M.
Entri diperbarui pada 5 September 2023
CoreServices
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah ini telah diatasi dengan penyamaran informasi sensitif yang ditingkatkan.
CVE-2023-28191: Mickey Jin (@patch1t)
CUPS
Tersedia untuk: macOS Ventura
Dampak: Pengguna tidak sah mungkin dapat mengakses dokumen yang baru-baru ini dicetak
Deskripsi: Masalah autentikasi telah diatasi dengan pengelolaan kondisi yang ditingkatkan.
CVE-2023-32360: Gerhard Muth
dcerpc
Tersedia untuk: macOS Ventura
Dampak: Penyerang jarak jauh mungkin dapat mengakibatkan penghentian app secara tiba-tiba atau eksekusi kode arbitrer
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan manajemen memori yang ditingkatkan.
CVE-2023-32387: Dimitrios Tatsis dari Cisco Talos
DesktopServices
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat keluar dari sandbox
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32414: Mickey Jin (@patch1t)
Face Gallery
Tersedia untuk: macOS Ventura
Dampak: Penyerang dengan akses fisik ke Apple Watch yang terkunci mungkin dapat melihat foto atau kontak pengguna melalui fitur aksesibilitas
Deskripsi: Masalah ini telah diatasi dengan membatasi pilihan yang ditawarkan pada perangkat terkunci.
CVE-2023-32417: Zitong Wu (吴梓桐) dari Zhuhai No.1 High School (珠海市第一中学)
Entri ditambahkan pada 5 September 2023
GeoServices
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat membaca informasi lokasi yang sensitif
Deskripsi: Masalah ini telah diatasi dengan penyamaran informasi sensitif yang ditingkatkan untuk entri log.
CVE-2023-32392: Adam M.
Entri diperbarui pada 5 September 2023
ImageIO
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan gambar dapat mengakibatkan pengungkapan memori proses
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
CVE-2023-32372: Meysam Firouzi @R00tkitSMM dari Mbition Mercedes-Benz Innovation yang bekerja sama dengan Zero Day Initiative dari Trend Micro
Entri diperbarui pada 5 September 2023
ImageIO
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan gambar dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Kelebihan buffer telah diatasi dengan pemeriksaan batas yang ditingkatkan.
CVE-2023-32384: Meysam Firouzi @R00tkitsmm yang bekerja sama dengan Zero Day Initiative dari Trend Micro
IOSurface
Tersedia untuk: macOS Ventura
Dampak: App dapat membocorkan status kernel yang bersifat rahasia
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
CVE-2023-32410: hou xuewei (@p1ay8y3ar) vmk msu
IOSurfaceAccelerator
Tersedia untuk: macOS Ventura
Dampak: App dapat mengakibatkan sistem terhenti tiba-tiba atau membaca memori kernel
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
CVE-2023-32420: CertiK SkyFall Team dan Linus Henze dari Pinauten GmbH (pinauten.de)
Entri diperbarui pada 5 September 2023
Kernel
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Masalah ketidakjelasan tipe telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-27930: 08Tc3wBB dari Jamf
Kernel
Tersedia untuk: macOS Ventura
Dampak: App di sandbox mungkin dapat mengamati koneksi jaringan di tingkat sistem
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan izin tambahan.
CVE-2023-27940: James Duffy (mangoSecure)
Kernel
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan pengelolaan memori yang ditingkatkan.
CVE-2023-32398: Adam Doupé dari ASU SEFCOM
Kernel
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memperoleh hak istimewa root
Deskripsi: Kondisi pacu telah diatasi dengan penanganan status yang ditingkatkan.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) dari Synacktiv (@Synacktiv) yang bekerja sama dengan Zero Day Initiative dari Trend Micro
LaunchServices
Tersedia untuk: macOS Ventura
Dampak: App dapat melewati pemeriksaan Gatekeeper
Deskripsi: Masalah logika telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) dari SecuRing (wojciechregula.blog)
libxml2
Tersedia untuk: macOS Ventura
Dampak: Beberapa masalah di libxml2
Deskripsi: Beberapa masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.
CVE-2023-29469: OSS-Fuzz, Ned Williamson dari Google Project Zero
CVE-2023-42869: OSS-Fuzz, Ned Williamson dari Google Project Zero
Entri ditambahkan pada 21 Desember 2023
libxpc
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah logika telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32369: Jonathan Bar Or dari Microsoft, Anurag Bohra dari Microsoft, dan Michael Pearse dari Microsoft
libxpc
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memperoleh hak istimewa root
Deskripsi: Masalah logika telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32405: Thijs Alkemade (@xnyhps) dari Computest Sector 7
MallocStackLogging
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memperoleh hak istimewa root
Deskripsi: Masalah ini telah diatasi dengan penanganan file yang ditingkatkan.
CVE-2023-32428: Gergely Kalman (@gergely_kalman)
Entri ditambahkan pada 5 September 2023
Metal
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah logika telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
MobileStorageMounter
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memperoleh hak istimewa yang lebih tinggi
Deskripsi: Masalah izin telah diatasi dengan pembatasan tambahan.
CVE-2023-42958: Mickey Jin (@patch1t)
Entri ditambahkan 16 Juli 2024
Model I/O
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan model 3D dapat mengakibatkan pengungkapan memori proses
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
CVE-2023-32368: Mickey Jin (@patch1t)
CVE-2023-32375: Michael DePlante (@izobashi) dari Zero Day Initiative dari Trend Micro
CVE-2023-32382: Mickey Jin (@patch1t)
Model I/O
Tersedia untuk: macOS Ventura
Dampak: Memproses model 3D dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Masalah penulisan di luar batas telah diatasi dengan pemeriksaan batas yang ditingkatkan.
CVE-2023-32380: Mickey Jin (@patch1t)
NetworkExtension
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat membaca informasi lokasi yang sensitif
Deskripsi: Masalah ini telah diatasi dengan penyuntingan informasi sensitif yang ditingkatkan.
CVE-2023-32403: Adam M.
Entri diperbarui pada 5 September 2023
NSURLSession
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat keluar dari sandbox
Deskripsi: Masalah ini telah diatasi dengan peningkatan terhadap protokol penanganan file.
CVE-2023-32437: Thijs Alkemade dari Computest Sector 7
Entri ditambahkan pada 5 September 2023
PackageKit
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah logika telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32355: Mickey Jin (@patch1t)
PDFKit
Tersedia untuk: macOS Ventura
Dampak: Membuka file PDF dapat mengakibatkan app berhenti tiba-tiba
Deskripsi: Masalah penolakan layanan telah diatasi dengan penanganan memori yang ditingkatkan.
CVE-2023-32385: Jonathan Fritz
Perl
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah logika telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32395: Arsenii Kostromin (0x3c3e)
Photos
Tersedia untuk: macOS Ventura
Dampak: Foto di dalam Album Foto Tersembunyi dapat dilihat tanpa autentikasi melalui Cari Tahu Visual
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32390: Julian Szulc
Quick Look
Tersedia untuk: macOS Ventura
Dampak: Menguraikan dokumen kantor dapat mengakibatkan penghentian app secara tiba-tiba atau eksekusi kode arbitrer
Deskripsi: Kelebihan buffer telah diatasi dengan pemeriksaan batas yang ditingkatkan.
CVE-2023-32401: Holger Fuhrmannek dari Deutsche Telekom Security GmbH atas nama BSI (German Federal Office for Information Security)
Entri ditambahkan pada 21 Desember 2023
Sandbox
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat menyimpan akses ke file konfigurasi sistem meski izinnya telah dicabut
Deskripsi: Masalah otorisasi telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Koh M. Nakagawa dari FFRI Security, Inc., Kirin (@Pwnrin), Jeff Johnson (underpassapp.com), dan Csaba Fitzl (@theevilbit) dari Offensive Security
Screen Saver
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah izin telah diatasi dengan menghapus kode yang rentan dan menambahkan pemeriksaan tambahan.
CVE-2023-32363: Mickey Jin (@patch1t)
Security
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengakses data rahasia pengguna
Deskripsi: Masalah ini telah diatasi dengan penetapan hak yang ditingkatkan.
CVE-2023-32367: James Duffy (mangoSecure)
Share Sheet
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengakses data rahasia pengguna
Deskripsi: Masalah privasi telah diatasi dengan penanganan file sementara yang ditingkatkan.
CVE-2023-32432: Kirin (@Pwnrin)
Entri ditambahkan pada 5 September 2023
Shell
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah logika telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-32397: Arsenii Kostromin (0x3c3e)
Shortcuts
Tersedia untuk: macOS Ventura
Dampak: Pintasan mungkin dapat menggunakan data sensitif dengan tindakan tertentu tanpa meminta izin pengguna
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32391: Wenchao Li dan Xiaolong Bai dari Alibaba Group
Shortcuts
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah ini telah diatasi dengan penetapan hak yang ditingkatkan.
CVE-2023-32404: Mickey Jin (@patch1t), Zhipeng Huo (@R3dF09) dari Tencent Security Xuanwu Lab (xlab.tencent.com), dan peneliti anonim
Siri
Tersedia untuk: macOS Ventura
Dampak: Orang dengan akses fisik ke perangkat mungkin dapat melihat informasi kontak dari layar terkunci
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan yang ditingkatkan.
CVE-2023-32394: Khiem Tran
SQLite
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat melewatkan preferensi Privasi
Deskripsi: Masalah ini telah diatasi dengan menambahkan pembatasan pencatatan SQLite tambahan.
CVE-2023-32422: Gergely Kalman (@gergely_kalman), dan Wojciech Reguła dari SecuRing (wojciechregula.blog)
Entri diperbarui pada 2 Juni 2023
StorageKit
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat memodifikasi bagian sistem file yang dilindungi
Deskripsi: Masalah ini telah diatasi dengan penetapan hak yang ditingkatkan.
CVE-2023-32376: Yiğit Can YILMAZ (@yilmazcanyigit)
sudo
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat meningkatkan hak istimewa
Deskripsi: Masalah ini telah diatasi dengan memperbarui sudo.
CVE-2023-22809
Entri ditambahkan pada 5 September 2023
System Settings
Tersedia untuk: macOS Ventura
Dampak: Pengaturan firewall app mungkin tidak diterapkan setelah keluar dari app Pengaturan
Deskripsi: Masalah ini telah diatasi dengan manajemen status yang ditingkatkan.
CVE-2023-28202: Satish Panduranga dan peneliti anonim
Telephony
Tersedia untuk: macOS Ventura
Dampak: Penyerang jarak jauh mungkin dapat mengakibatkan penghentian app secara tiba-tiba atau eksekusi kode arbitrer
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan manajemen memori yang ditingkatkan.
CVE-2023-32412: Ivan Fratric dari Google Project Zero
TV App
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat membaca informasi lokasi yang sensitif
Deskripsi: Masalah telah diatasi dengan penanganan cache yang ditingkatkan.
CVE-2023-32408: Adam M.
Weather
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat membaca informasi lokasi yang sensitif
Deskripsi: Masalah ini telah diatasi dengan penyuntingan informasi sensitif yang ditingkatkan.
CVE-2023-32415: Wojciech Regula dari SecuRing (wojciechregula.blog) dan Adam M.
Entri diperbarui pada 16 Juli 2024
WebKit
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan konten web dapat mengakibatkan pengungkapan informasi sensitif
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
WebKit Bugzilla: 255075
CVE-2023-32402: Ignacio Sanmillan (@ulexec)
Entri diperbarui pada 21 Desember 2023
WebKit
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan konten web dapat mengakibatkan pengungkapan informasi sensitif
Deskripsi: Masalah kelebihan buffer telah diatasi dengan penanganan memori yang ditingkatkan.
WebKit Bugzilla: 254781
CVE-2023-32423: Ignacio Sanmillan (@ulexec)
WebKit
Tersedia untuk: macOS Ventura
Dampak: Penyerang jarak jauh mungkin dapat keluar dari sandbox Konten Web. Apple mengetahui adanya laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif.
Deskripsi: Masalah ini telah diatasi dengan pemeriksaan batas yang ditingkatkan.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne dari Google’s Threat Analysis Group dan Donncha Ó Cearbhaill dari Amnesty International’s Security Lab
WebKit
Tersedia untuk: macOS Ventura
Dampak: Pemrosesan konten web dapat mengakibatkan pengungkapan informasi sensitif. Apple mengetahui adanya laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif.
Deskripsi: Pembacaan di luar batas telah diatasi melalui validasi input yang ditingkatkan.
WebKit Bugzilla: 254930
CVE-2023-28204: peneliti anonim
Masalah ini pertama kali diatasi di Respons Keamanan Cepat macOS 13.3.1 (a).
WebKit
Tersedia untuk: macOS Ventura
Dampak: Memproses konten web perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer. Apple mengetahui adanya laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif.
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan manajemen memori yang ditingkatkan.
WebKit Bugzilla: 254840
CVE-2023-32373: peneliti anonim
Masalah ini pertama kali diatasi di Respons Keamanan Cepat macOS 13.3.1 (a).
Wi-Fi
Tersedia untuk: macOS Ventura
Dampak: App mungkin dapat mengungkapkan memori kernel
Deskripsi: Masalah ini telah diatasi dengan penyamaran informasi sensitif yang ditingkatkan.
CVE-2023-32389: Pan ZhenPeng (@Peterpan0927) dari STAR Labs SG Pte. Ltd.
Ucapan terima kasih tambahan
Accounts
Kami ingin mengucapkan terima kasih kepada Sergii Kryvoblotskyi dari MacPaw Inc. atas bantuannya.
CFNetwork
Kami ingin mengucapkan terima kasih kepada Gabriel Geraldino de Souza atas bantuannya.
Entri ditambahkan 16 Juli 2024
CloudKit
Kami ingin mengucapkan terima kasih kepada Iconic atas bantuannya.
Find My
Kami ingin mengucapkan terima kasih kepada Abhinav Thakur, Artem Starovoitov, Hodol K, peneliti anonim atas bantuannya.
Entri ditambahkan pada 21 Desember 2023
libxml2
Kami ingin mengucapkan terima kasih kepada OSS-Fuzz, Ned Williamson dari Google Project Zero atas bantuannya.
Reminders
Kami ingin mengucapkan terima kasih kepada Kirin (@Pwnrin) atas bantuannya.
Rosetta
Kami ingin mengucapkan terima kasih kepada Koh M. Nakagawa dari FFRI Security, Inc. atas bantuannya.
Safari
Kami ingin mengucapkan terima kasih kepada Khiem Tran (databaselog.com) atas bantuannya.
Entri diperbarui pada 21 Desember 2023
Security
Kami ingin mengucapkan terima kasih kepada Brandon Toms atas bantuannya.
Share Sheet
Kami ingin mengucapkan terima kasih kepada Kirin (@Pwnrin) atas bantuannya.
Wallet
Kami ingin mengucapkan terima kasih kepada James Duffy (mangoSecure) atas bantuannya.
WebRTC
Kami ingin mengucapkan terima kasih kepada Dohyun Lee (@l33d0hyun) dari PK Security dan peneliti anonim atas bantuannya.
Entri ditambahkan pada 21 Desember 2023
Wi-Fi
Kami ingin mengucapkan terima kasih kepada Adam M. atas bantuannya.
Entri diperbarui pada 21 Desember 2023
Wi-Fi Connectivity
Kami ingin mengucapkan terima kasih kepada Adam M. atas bantuannya.
Entri ditambahkan 16 Juli 2024
Informasi mengenai produk yang tidak diproduksi Apple, atau situs web independen yang tidak dikendalikan atau diuji Apple, diberikan tanpa rekomendasi atau persetujuan. Apple tidak bertanggung jawab atas pemilihan, kinerja, atau penggunaan situs web atau produk pihak ketiga. Apple tidak memberikan pernyataan terkait keakuratan atau keandalan situs web pihak ketiga. Hubungi vendor untuk informasi tambahan.