Mengenai konten keamanan macOS Sierra 10.12.6, Pembaruan Keamanan 2017-003 El Capitan, dan Pembaruan Keamanan 2017-003 Yosemite

Dokumen ini menjelaskan konten keamanan macOS Sierra 10.12.6, Pembaruan Keamanan 2017-003 El Capitan, dan Pembaruan Keamanan 2017-003 Yosemite.

Tentang pembaruan keamanan Apple

Demi melindungi pelanggan, Apple tidak mengungkapkan, membahas, atau mengonfirmasi masalah keamanan sebelum investigasi dilakukan dan perbaikan program atau rilis tersedia. Rilis terbaru tercantum di halaman pembaruan keamanan Apple.

Untuk informasi lebih lanjut tentang keamanan, buka halaman Keamanan Produk Apple. Anda dapat mengenkripsi komunikasi dengan Apple menggunakan Kunci PGP Keamanan Produk Apple.

Dokumen keamanan Apple memberikan referensi tentang kerentanan menurut CVE-ID jika memungkinkan.

macOS Sierra 10.12.6, Pembaruan Keamanan 2017-003 El Capitan, dan Pembaruan Keamanan 2017-003 Yosemite

afclip

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Memproses file audio perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi melalui validasi input yang lebih baik.

CVE-2017-7016: riusksk(泉哥) dari Departemen Platform Keamanan Tencent

afclip

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Memproses file audio perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7033: riusksk(泉哥) dari Departemen Platform Keamanan Tencent

AppleGraphicsPowerManagement

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7021: sss dan Axis dari 360 Nirvan Team

Audio

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Pemrosesan file audio berbahaya dapat mengungkap memori terbatas

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7015: riusksk(泉哥) dari Departemen Platform Keamanan Tencent

Bluetooth

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7050: Min (Spark) Zheng dari Alibaba Inc.

CVE-2017-7051: Alex Plaskett dari MWR InfoSecurity

Bluetooth

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7054: Alex Plaskett dari MWR InfoSecurity, Lufeng Li dari Qihoo 360 Vulcan Team

Contacts

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Penyerang dari jarak jauh dapat menyebabkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer

Deskripsi: Masalah kelebihan buffer telah diatasi melalui penanganan memori yang lebih baik.

CVE-2017-7062: Shashank (@cyberboyIndia)

CoreAudio

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Memproses file film perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi dengan pemeriksaan ikatan yang ditingkatkan.

CVE-2017-7008: Yangkang (@dnpushme) dari Qihoo 360 Qex Team

curl

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Beberapa masalah di curl

Deskripsi: Beberapa masalah telah diatasi dengan memperbarui ke versi 7.54.0.

CVE-2016-9586

CVE-2016-9594

CVE-2017-2629

CVE-2017-7468

Foundation

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Memproses file perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi melalui validasi input yang ditingkatkan.

CVE-2017-7031: HappilyCoded (ant4g0nist and r3dsm0k3)

Pengimpor Font

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Memproses font perusak yang berbahaya dapat mengakibatkan pengungkapan memori proses

Deskripsi: Masalah kerusakan memori telah diatasi melalui validasi input yang ditingkatkan.

CVE-2017-13850: John Villamil, Doyensec

Driver Intel Graphics

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7014: Lee dari Minionz, Axis dan sss dari Qihoo 360 Nirvan Team

CVE-2017-7017: chenqin dari Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室)

CVE-2017-7035: shrek_wzw dari Qihoo 360 Nirvan Team

CVE-2017-7044: shrek_wzw dari Qihoo 360 Nirvan Team

Driver Intel Graphics

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi mungkin dapat membaca memori terbatas

Deskripsi: Masalah validasi telah diatasi dengan pembersihan input yang disempurnakan.

CVE-2017-7036: shrek_wzw dari Qihoo 360 Nirvan Team

CVE-2017-7045: shrek_wzw dari Qihoo 360 Nirvan Team

IOUSBFamily

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7009: shrek_wzw dari Qihoo 360 Nirvan Team

Kernel

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7022: peneliti anonim

CVE-2017-7024: peneliti anonim

Kernel

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7023: peneliti anonim

Kernel

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7025: peneliti anonim

CVE-2017-7027: peneliti anonim

CVE-2017-7069: Proteas dari Qihoo 360 Nirvan Team

Kernel

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7026: peneliti anonim

Kernel

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi mungkin dapat membaca memori terbatas

Deskripsi: Masalah validasi telah diatasi dengan pembersihan input yang disempurnakan.

CVE-2017-7028: peneliti anonim

CVE-2017-7029: peneliti anonim

Kernel

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi mungkin dapat membaca memori terbatas

Deskripsi: Masalah validasi telah diatasi dengan pembersihan input yang disempurnakan.

CVE-2017-7067: shrek_wzw dari Qihoo 360 Nirvan Team

kext tools

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7032: Axis dan sss dari Qihoo 360 Nirvan Team

libarchive

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Membuka arsip perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Kelebihan buffer telah diatasi melalui pemeriksaan pembatasan yang lebih baik.

CVE-2017-7068: ditemukan oleh OSS-Fuzz

libxml2

Tersedia untuk: macOS Sierra 10.12.5, OS X El Capitan 10.11.6, dan OS X Yosemite 10.10.5

Dampak: Menguraikan dokumen XML perusak yang berbahaya dapat mengakibatkan pengungkapan informasi pengguna

Deskripsi: Pembacaan di luar batas telah diatasi melalui pemeriksaan batas yang ditingkatkan.

CVE-2017-7010: Apple

CVE-2017-7013: ditemukan oleh OSS-Fuzz

libxpc

Tersedia untuk: macOS Sierra 10.12.5 dan OS X El Capitan 10.11.6

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7047: Ian Beer dari Google Project Zero

Wi-Fi

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Penyerang yang berada dalam jangkauan mungkin dapat mengeksekusi kode arbitrer pada chip Wi-Fi

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-7065: Gal Beniamini dari Google Project Zero

Wi-Fi

Tersedia untuk: macOS Sierra 10.12.5

Dampak: Penyerang yang berada dalam jangkauan mungkin dapat mengeksekusi kode arbitrer pada chip Wi-Fi

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2017-9417: Nitay Artenstein dari Exodus Intelligence

Penghargaan tambahan

curl

Kami ingin mengapresiasi Dave Murdock dari Tangerine Element atas bantuan yang diberikan.