Informazioni sui contenuti di sicurezza di macOS High Sierra 10.13.5, aggiornamento di sicurezza 2018-003 per Sierra e aggiornamento di sicurezza 2018-003 per El Capitan

In questo documento vengono descritti i contenuti di sicurezza di macOS High Sierra 10.13.5, dell'aggiornamento di sicurezza 2018-003 per Sierra e dell'aggiornamento di sicurezza 2018-003 per El Capitan.

Informazioni sugli aggiornamenti di sicurezza Apple

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Puoi trovare un elenco delle nuove versioni alla pagina Aggiornamenti di sicurezza Apple.

Per ulteriori informazioni sulla sicurezza, visita la pagina relativa alla sicurezza dei prodotti Apple. Puoi codificare le comunicazioni con Apple usando la chiave PGP per la sicurezza dei prodotti Apple.

Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.

macOS High Sierra 10.13.5, aggiornamento di sicurezza 2018-003 per Sierra e aggiornamento di sicurezza 2018-003 per El Capitan

Accessibility Framework

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione pericolosa può eseguire codice arbitrario con privilegi di sistema.

Descrizione: si verificava un problema di divulgazione di informazioni in Accessibility Framework. che è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4196: Alex Plaskett, Georgi Geshev e Fabian Beterke di MWR Labs in collaborazione con Zero Day Initiative di Trend Micro e WanderingGlitch di Zero Day Initiative di Trend Micro

AMD

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di leggere la memoria del kernel.

Descrizione: si verificava un problema di lettura non nei limiti che causava la divulgazione della memoria del kernel. Il problema è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4253: shrek_wzw del Nirvan Team di Qihoo 360

AMD

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di leggere la memoria del kernel.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4256: shrek_wzw del Nirvan Team di Qihoo 360

AMD

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di leggere la memoria del kernel.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4255: shrek_wzw del Nirvan Team di Qihoo 360

AMD

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: si verificava un problema relativo alla convalida dell'input nel kernel. Il problema è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4254: un ricercatore anonimo

AMD

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: si verificava un problema relativo alla convalida dell'input nel kernel. Il problema è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4254: shrek_wzw del Nirvan Team di Qihoo 360

AppleGraphicsControl

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un overflow del buffer è stato risolto attraverso un migliore controllo dei limiti.

CVE-2018-4258: shrek_wzw del Nirvan Team di Qihoo 360

AppleGraphicsPowerManagement

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un overflow del buffer è stato risolto attraverso una migliore convalida delle dimensioni.

CVE-2018-4257: shrek_wzw del Nirvan Team di Qihoo 360

apache_mod_php

Disponibile per: macOS High Sierra 10.13.4

Impatto: in questo aggiornamento sono stati risolti alcuni problemi di php.

Descrizione: il problema è stato risolto con l'aggiornamento di php alla versione 7.1.16.

CVE-2018-7584: Wei Lei e Liu Yang della Nanyang Technological University

ATS

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione dannosa potrebbe rendere più elevati i privilegi.

Descrizione: un problema di confusione dei tipi è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4219: Mohamed Ghannam (@_simo36)

Bluetooth

Disponibile per: MacBook Pro (Retina, 15 pollici, metà 2015), MacBook Pro (Retina, 15 pollici, 2015), MacBook Pro (Retina, 13 pollici, inizio 2015), MacBook Pro (15 pollici, 2017), MacBook Pro (15 pollici, 2016), MacBook Pro (13 pollici, fine 2016, due porte Thunderbolt 3), MacBook Pro (13 pollici, fine 2016, quattro porte Thunderbolt 3), MacBook Pro (13 pollici, 2017, quattro porte Thunderbolt 3), MacBook (Retina, 12 pollici, inizio 2016), MacBook (Retina, 12 pollici, inizio 2015), MacBook (Retina, 12 pollici, 2017), iMac Pro, iMac (Retina 5K, 27 pollici, fine 2015), iMac (Retina 5K, 27 pollici, 2017), iMac (Retina 4K, 21,5 pollici, fine 2015), iMac (Retina 4K, 21,5 pollici, 2017), iMac (21,5 pollici, fine 2015) e iMac (21,5 pollici, 2017)

Impatto: un utente malintenzionato in una posizione privilegiata sulla rete può essere in grado di intercettare il traffico Bluetooth.

Descrizione: esisteva un problema di convalida dell'input relativo al Bluetooth. Il problema è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-5383: Lior Neumann e Eli Biham

Bluetooth

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

Impatto: un'applicazione dannosa può essere in grado di determinare il layout della memoria del kernel.

Descrizione: si verificava un problema di divulgazione di informazioni nelle proprietà del dispositivo. Il problema è stato risolto attraverso una migliore gestione degli oggetti.

CVE-2018-4171: shrek_wzw del Nirvan Team di Qihoo 360

CoreGraphics

Disponibile per: macOS High Sierra 10.13.4

Impatto: l'elaborazione di contenuti web pericolosi può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di lettura non nei limiti è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4194: Jihui Lu di Tencent KeenLab, Yu Zhou di Ant-financial Light-Year Security Lab

CUPS

Disponibile per: macOS High Sierra 10.13.4

Impatto: un processo locale può modificare altri processi senza verifiche dell'autorizzazione.

Descrizione: un problema in CUPS. è stato risolto attraverso migliori restrizioni di accesso.

CVE-2018-4180: Dan Bastone di Gotham Digital Science

CUPS

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale potrebbe riuscire a leggere file arbitrari come root.

Descrizione: un problema in CUPS. è stato risolto attraverso migliori restrizioni di accesso.

CVE-2018-4181: Eric Rafaloff e John Dunlap di Gotham Digital Science

CUPS

Disponibile per: macOS High Sierra 10.13.4

Impatto: un processo in sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: un problema di accesso è stato risolto con ulteriori restrizioni della sandbox in CUPS.

CVE-2018-4182: Dan Bastone di Gotham Digital Science

CUPS

Disponibile per: macOS High Sierra 10.13.4

Impatto: un processo in sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: un problema di accesso è stato risolto attraverso ulteriori restrizioni della sandbox.

CVE-2018-4183: Dan Bastone ed Eric Rafaloff di Gotham Digital Science

EFI

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente malintenzionato con accesso fisico a un dispositivo potrebbe riuscire a elevare i privilegi.

Descrizione: un problema di convalida è stato risolto attraverso una migliore logica.

CVE-2018-4478: un ricercatore anonimo, un ricercatore anonimo, Ben Erickson di Trusted Computer Consulting, LLC

Firmware

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione dannosa con privilegi root può essere in grado di modificare la regione della memoria flash EFI.

Descrizione: un problema di configurazione del dispositivo è stato risolto con una configurazione aggiornata.

CVE-2018-4251: Maxim Goryachy e Mark Ermolov

FontParser

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.4

Impatto: l'elaborazione di un file di font pericoloso può causare l'esecuzione di codice arbitrario.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore convalida.

CVE-2018-4211: Proteas del Nirvan Team di Qihoo 360

Grand Central Dispatch

Disponibile per: macOS High Sierra 10.13.4

Impatto: un processo in sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: si verificava un problema nell'analisi dei file plist di autorizzazione. Questo problema è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4229: Jakob Rieck (@0xdead10cc) di Security in Distributed Systems Group, Università di Amburgo

Driver della scheda grafica

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di leggere la memoria con restrizioni.

Descrizione: un problema di convalida è stato risolto con una migliore sanitizzazione dell'input.

CVE-2018-4159: Axis e pjf di IceSword Lab di Qihoo 360

Hypervisor

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: una vulnerabilità al danneggiamento della memoria è stata risolta mediante un blocco migliore.

CVE-2018-4242: Zhuo Liang del Nirvan Team di Qihoo 360

iBooks

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente malintenzionato in una posizione privilegiata sulla rete potrebbe riuscire a eseguire lo spoofing delle richieste di inserimento della password in iBooks.

Descrizione: un problema di convalida dell'input è stato risolto attraverso una migliore gestione dell'input.

CVE-2018-4202: Jerry Decime

Servizi di identità

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione dannosa può riuscire ad accedere agli ID Apple degli utenti locali.

Descrizione: un problema di privacy nella gestione dei record di Open Directory è stato risolto migliorando l'indicizzazione.

CVE-2018-4217: Jacob Greenfield della Commonwealth School

Driver Intel Graphics

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di leggere la memoria con restrizioni.

Descrizione: un problema di convalida è stato risolto con una migliore sanitizzazione dell'input.

CVE-2018-4141: un ricercatore anonimo, Zhao Qixun (@S0rryMybad) del Vulcan Team di Qihoo 360

IOFireWireAVC

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: una race condition è stata risolta attraverso un blocco migliore.

CVE-2018-4228: Benjamin Gnahm (@mitp0sh) di Mentor Graphics

IOGraphics

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4236: Zhao Qixun (@S0rryMybad) del Vulcan Team di Qihoo 360

IOHIDFamily

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4234: Proteas del Nirvan Team di Qihoo 360

Kernel

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4249: Kevin Backhouse di Semmle Ltd.

Kernel

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

Impatto: un'applicazione pericolosa può eseguire codice arbitrario con privilegi kernel.

Descrizione: in determinate circostanze, alcuni sistemi operativi potrebbero non prevedere o gestire correttamente un'eccezione di debug dell'architettura Intel dopo determinate istruzioni. Il problema sembra derivare da un effetto collaterale non documentato delle istruzioni. Un utente malintenzionato potrebbe usare questa gestione delle eccezioni per ottenere l'accesso a Ring 0 e quindi alla memoria sensibile o controllare i processi del sistema operativo.

CVE-2018-8897: Andy Lutomirski, Nick Peterson (linkedin.com/in/everdox) di Everdox Tech LLC

Kernel

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: un overflow del buffer è stato risolto attraverso un migliore controllo dei limiti.

CVE-2018-4241: Ian Beer di Google Project Zero

CVE-2018-4243: Ian Beer di Google Project Zero

libxpc

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione potrebbe riuscire ad acquisire privilegi elevati.

Descrizione: un problema logico è stato risolto attraverso una migliore convalida.

CVE-2018-4237: Samuel Groß (@5aelo) in collaborazione con Zero Day Initiative di Trend Micro

libxpc

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi di sistema.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4404: Samuel Groß (@5aelo) in collaborazione con Zero Day Initiative di Trend Micro

Mail

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente malintenzionato potrebbe riuscire a esfiltrare i contenuti delle email con codifica S/MIME

Descrizione: un problema nella gestione della codifica in Mail. è stato risolto attraverso un migliore isolamento di MIME in Mail.

CVE-2018-4227: Damian Poddebniak dell'Università di Scienze Applicate di Münster, Christian Dresen dell'Università di Scienze Applicate di Münster, Jens Müller della Ruhr-Universität Bochum, Fabian Ising dell'Università di Scienze Applicate di Münster, Sebastian Schinzel dell'Università di Scienze Applicate di Münster, Simon Friedberger della KU Leuven, Juraj Somorovsky della Ruhr-Universität Bochum, Jörg Schwenk della Ruhr-Universität Bochum

Messaggi

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di condurre attacchi di impersonificazione.

Descrizione: un problema di injection è stato risolto attraverso una migliore convalida dell'input.

CVE-2018-4235: Anurodh Pokharel di salesforce.com

Messaggi

Disponibile per: macOS High Sierra 10.13.4

Impatto: l'elaborazione di un messaggio dannoso può causare una negazione del servizio.

Descrizione: questo problema è stato risolto attraverso una migliore convalida dei messaggi.

CVE-2018-4240: Sriram (@Sri_Hxor) di PrimeFort Pvt. Ltd

NVIDIA Graphics Drivers

Disponibile per: macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi kernel.

Descrizione: una race condition è stata risolta attraverso un blocco migliore.

CVE-2018-4230: Ian Beer di Google Project Zero

Sicurezza

Disponibile per: macOS High Sierra 10.13.4

Impatto: gli utenti potrebbero essere monitorati da siti web pericolosi tramite i certificati client

Descrizione: un problema nella gestione dei certificati S/MIME. è stato risolto attraverso una migliore convalida dei certificati S/MIME.

CVE-2018-4221: Damian Poddebniak dell'Università di Scienze Applicate di Münster, Christian Dresen dell'Università di Scienze Applicate di Münster, Jens Müller della Ruhr-Universität Bochum, Fabian Ising dell'Università di Scienze Applicate di Münster, Sebastian Schinzel dell'Università di Scienze Applicate di Münster, Simon Friedberger della KU Leuven, Juraj Somorovsky della Ruhr-Universität Bochum, Jörg Schwenk della Ruhr-Universität Bochum

Sicurezza

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale potrebbe riuscire a leggere un identificatore account persistente.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2018-4223: Abraham Masri (@cheesecakeufo)

Sicurezza

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di leggere un identificatore di dispositivi persistente.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2018-4224: Abraham Masri (@cheesecakeufo)

Sicurezza

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale potrebbe riuscire a modificare lo stato del Portachiavi.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2018-4225: Abraham Masri (@cheesecakeufo)

Sicurezza

Disponibile per: macOS High Sierra 10.13.4

Impatto: un utente locale può essere in grado di visualizzare informazioni riservate degli utenti.

Descrizione: un problema di autorizzazione è stato risolto attraverso una migliore gestione dello stato.

CVE-2018-4226: Abraham Masri (@cheesecakeufo)

Voce

Disponibile per: macOS High Sierra 10.13.4

Impatto: un processo in sandbox può essere in grado di eludere le restrizioni della sandbox.

Descrizione: si verificava un problema della sandbox nella gestione dell'accesso al microfono. Il problema è stato risolto con una migliore gestione dell'accesso al microfono.

CVE-2018-4184: Jakob Rieck (@0xdead10cc) di Security in Distributed Systems Group, Università di Amburgo

UIKit

Disponibile per: macOS High Sierra 10.13.4

Impatto: l'elaborazione di un file di testo dannoso può causare un'interruzione del servizio.

Descrizione: si verificava un problema di convalida nella gestione del testo. Questo problema è stato risolto attraverso una migliore convalida del testo.

CVE-2018-4198: Hunter Byrnes

Windows Server

Disponibile per: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.4

Impatto: un'applicazione può essere in grado di eseguire codice arbitrario con privilegi di sistema.

Descrizione: un problema di danneggiamento della memoria è stato risolto attraverso una migliore gestione della memoria.

CVE-2018-4193: Markus Gaasedelen, Amy Burnett e Patrick Biernat di Ret2 Systems, Inc in collaborazione con Zero Day Initiative di Trend Micro, Richard Zhu (fluorescence) in collaborazione con Zero Day Initiative di Trend Micro