Informazioni sui contenuti di sicurezza di visionOS2

In questo articolo vengono descritti i contenuti di sicurezza di visionOS 2.

Informazioni sugli aggiornamenti di sicurezza Apple

Per proteggere la propria clientela, Apple non divulga, illustra né conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Le versioni recenti sono elencate nella pagina Versioni di sicurezza di Apple.

Quando possibile, i documenti sulla sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.

Per ulteriori informazioni sulla sicurezza, consulta la pagina Sicurezza dei prodotti Apple.

visionOS 2

APFS

Disponibile per: Apple Vision Pro

Impatto: un'app dannosa con privilegi root può essere in grado di modificare i contenuti dei file di sistema.

Descrizione: il problema è stato risolto con controlli migliori.

CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)

Compression

Disponibile per: Apple Vision Pro

Impatto: l'estrazione di un archivio dannoso può consentire a un utente malintenzionato di scrivere file arbitrari.

Descrizione: una race condition è stata risolta attraverso un blocco migliore.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Game Center

Disponibile per: Apple Vision Pro

Impatto: un'app potrebbe essere in grado di accedere ai dati sensibili dell'utente.

Descrizione: un problema di accesso ad alcuni file è stato risolto attraverso una migliore convalida dell'input.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Disponibile per: Apple Vision Pro

Impatto: l'elaborazione di un file dannoso potrebbe causare la chiusura improvvisa dell'applicazione.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2024-27880: Junsung Lee

ImageIO

Disponibile per: Apple Vision Pro

Impatto: l'elaborazione di un'immagine potrebbe causare l'interruzione del servizio

Descrizione: un problema di accesso non nei limiti è stato risolto con un migliore controllo dei limiti.

CVE-2024-44176: dw0r di ZeroPointer Lab in collaborazione con Zero Day Initiative di Trend Micro e un ricercatore anonimo.

IOSurfaceAccelerator

Disponibile per: Apple Vision Pro

Impatto: un'app potrebbe causare l'arresto improvviso del sistema.

Descrizione: il problema è stato risolto con una migliore gestione della memoria.

CVE-2024-44169: Antonio Zekić

Kernel

Disponibile per: Apple Vision Pro

Impatto: può verificarsi una fuoriuscita del traffico di rete al di fuori di un tunnel VPN.

Descrizione: un problema logico è stato risolto attraverso migliori controlli.

CVE-2024-44165: Andrew Lytvynov

Kernel

Disponibile per: Apple Vision Pro

Impatto: un'app potrebbe ottenere l'accesso non autorizzato al Bluetooth.

Descrizione: il problema è stato risolto attraverso una migliore gestione dello stato.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) e Mathy Vanhoef

libxml2

Disponibile per: Apple Vision Pro

Impatto: l'elaborazione di contenuto web dannoso può causare un crash imprevisto del processo.

Descrizione: un problema di overflow dei numeri interi è stato risolto mediante una migliore convalida degli input.

CVE-2024-44198: OSS-Fuzz, Ned Williamson di Google Project Zero

mDNSResponder

Disponibile per: Apple Vision Pro

Impatto: un'app potrebbe causare l'interruzione del servizio.

Descrizione: un problema logico è stato risolto con una migliore gestione dell'errore.

CVE-2024-44183: Olivier Levon

Model I/O

Disponibile per: Apple Vision Pro

Impatto: l'elaborazione di un'immagine dannosa può causare l'interruzione del servizio.

Descrizione: si tratta di una vulnerabilità del codice open source e il software Apple è tra i progetti interessati. Il CVE-ID è stato assegnato da terze parti. Scopri di più sul problema e sul CVE-ID su cve.org.

CVE-2023-5841

Note

Disponibile per: Apple Vision Pro

Impatto: un'app potrebbe sovrascrivere i file arbitrari.

Descrizione: il problema è stato risolto rimuovendo il codice vulnerabile.

CVE-2024-44167: ajajfxhj

Presence

Disponibile per: Apple Vision Pro

Impatto: un'app può essere in grado di leggere dati sensibili dalla memoria della GPU.

Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.

CVE-2024-40790: Max Thomas

WebKit

Disponibile per: Apple Vision Pro

Impatto: l'elaborazione di contenuti web dannosi può causare il cross-site scripting universale.

Descrizione: il problema è stato risolto attraverso una migliore gestione dello stato.

CVE-2024-40857: Ron Masas

WebKit

Disponibile per: Apple Vision Pro

Impatto: un sito web dannoso può consentire l'esfiltrazione multiorigine dei dati.

Descrizione: si verificava un problema multiorigine con gli elementi “iFrame”. è stato risolto attraverso un migliore monitoraggio delle origini di sicurezza.

CVE-2024-44187: Narendra Bhati, Manager di Cyber Security presso Suma Soft Pvt. Ltd, Pune (India)

Altri riconoscimenti

Kernel

Ringraziamo Braxton Anderson per l'assistenza.

Mappe

Ringraziamo Kirin (@Pwnrin) per l'assistenza.

Password

Ringraziamo Richard Hyunho Im (@r1cheeta) per l'assistenza.

TCC

Ringraziamo Vaibhav Prajapati per l'assistenza.

WebKit

Ringraziamo Avi Lumelsky, Uri Katz, (Oligo Security), Johan Carlsson (joaxcar) per l'assistenza.