Apple セキュリティアップデートについて
Apple では、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最近のリリースについては、「Apple セキュリティアップデート」ページに一覧形式でまとめています。
Apple のセキュリティ関連の文書では、可能な場合、脆弱性の CVE-ID に言及しています。
セキュリティについて詳しくは、Apple 製品のセキュリティに関するページを参照してください。
macOS Big Sur 11.7.5
2023 年 3 月 27 日リリース
Apple Neural Engine
対象 OS：macOS Big Sur
影響：アプリがカーネル権限で任意のコードを実行できる可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
CVE-2023-23540：Mohamed GHANNAM 氏 (@_simo36)
AppleAVD
対象 OS：macOS Big Sur
影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。
説明：メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。
CVE-2022-26702：匿名の研究者、Antonio Zekic 氏 (@antoniozekic)、John Aakerblom 氏 (@jaakerblom)
AppleMobileFileIntegrity
対象 OS：macOS Big Sur
影響：ユーザがファイルシステムの保護された部分へのアクセス権を取得できる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2023-23527：Mickey Jin 氏 (@patch1t)
Archive Utility
対象 OS：macOS Big Sur
影響：アーカイブが Gatekeeper を回避できる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2023-27951：Red Canary の Brandon Dalton 氏 (@partyD0lphin)、Offensive Security の Csaba Fitzl 氏 (@theevilbit)
2023 年 5 月 11 日に更新
Calendar
対象 OS：macOS Big Sur
影響：悪意を持って作成されたカレンダーの出席依頼を読み込むと、ユーザ情報を密かに抽出される可能性がある。
説明：入力のサニタイズ処理を改善することで、複数の検証不備の脆弱性に対処しました。
CVE-2023-27961：Rıza Sabuncu 氏 (@rizasabuncu)
Carbon Core
対象 OS：macOS Big Sur
影響：悪意を持って作成された画像を処理すると、プロセスメモリが漏洩する可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2023-23534：Mickey Jin 氏 (@patch1t)
ColorSync
対象 OS：macOS Big Sur
影響：アプリが任意のファイルを読み取れる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2023-27955：JeongOhKyea 氏
CommCenter
対象 OS：macOS Big Sur
影響：アプリにシステムを突然終了されたり、カーネルメモリに書き込まれる可能性がある。
説明：入力検証を強化することで、領域外書き込みの脆弱性に対処しました。
CVE-2023-27936：清華大学 (Tsinghua University) の Tingting Yin 氏
dcerpc
対象 OS：macOS Big Sur
影響：リモートユーザによって、アプリが突然終了されたり、任意のコードが実行されたりする可能性がある。
説明：配列境界チェック機能を改善することで、この問題に対処しました。
CVE-2023-27935：Cisco Talos の Aleksandar Nikolic 氏
dcerpc
対象 OS：macOS Big Sur
影響：リモートユーザにシステムを突然終了されたり、カーネルメモリを破損されたりする可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
CVE-2023-27953：Cisco Talos の Aleksandar Nikolic 氏
CVE-2023-27958：Cisco Talos の Aleksandar Nikolic 氏
Find My
対象 OS：macOS Big Sur
影響：アプリが重要な位置情報を読み取れる可能性がある。
説明：ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。
CVE-2023-23537：匿名の研究者
FontParser
対象 OS：macOS Big Sur
影響：フォントファイルを処理すると、任意のコードが実行される可能性がある。
説明：入力検証を強化することで、領域外書き込みの脆弱性に対処しました。
CVE-2023-32366：Baidu Security の Ye Zhang 氏 (@VAR10CK)
2023 年 12 月 21 日に追加
Foundation
対象 OS：macOS Big Sur
影響：悪意を持って作成された plist を解析すると、アプリが予期せず終了したり、任意のコードが実行されたりする可能性がある。
説明：入力検証を強化することで、整数オーバーフローに対処しました。
CVE-2023-27937：匿名の研究者
Identity Services
対象 OS：macOS Big Sur
影響：アプリがユーザの連絡先に関する情報にアクセスできる可能性がある。
説明：ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。
CVE-2023-27928：Offensive Security の Csaba Fitzl 氏 (@theevilbit)
ImageIO
対象 OS：macOS Big Sur
影響：悪意を持って作成された ファイルを処理すると、アプリケーションが予期せず終了したり、任意のコードが実行される可能性がある。
説明：配列境界チェック機能を改善することで、領域外読み込みの脆弱性に対処しました。
CVE-2023-27946：Mickey Jin 氏 (@patch1t)
ImageIO
対象 OS：macOS Big Sur
影響：悪意を持って作成された画像を処理すると、プロセスメモリが漏洩する可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
CVE-2023-23535：ryuzaki 氏
IOAcceleratorFamily
対象 OS：macOS Big Sur
影響：アプリがカーネル権限で任意のコードを実行できる可能性がある。
説明：メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。
CVE-2023-32378：Murray Mike 氏
2023 年 12 月 21 日に追加
Kernel
対象 OS：macOS Big Sur
影響：アプリがカーネルメモリを漏洩させる可能性がある。
説明：領域外読み込みの脆弱性があり、これを悪用されると、カーネルメモリが漏洩する可能性がありました。この問題は、入力検証を強化することで解決されました。
CVE-2023-27941：Arsenii Kostromin 氏 (0x3c3e)
CVE-2023-28199：Arsenii Kostromin 氏 (0x3c3e)
2023 年 5 月 11 日に追加、2023 年 12 月 21 日に更新
Kernel 対象 OS：macOS Big Sur 影響：アプリがカーネル権限で任意のコードを実行できる可能性がある。 説明：配列境界チェック機能を改善することで、この問題に対処しました。 CVE-2023-23536：Félix Poulin-Bélanger 氏、David Pan Ogea 氏 2023 年 5 月 11 日に追加、2023 年 12 月 21 日に更新
Kernel 対象 OS：macOS Big Sur 影響：アプリがカーネル権限で任意のコードを実行できる可能性がある。 説明：メモリ管理を強化し、解放済みメモリ使用 (use-after-free) の脆弱性に対処しました。 CVE-2023-23514：Pangu Lab の Xinru Chi 氏および Google Project Zero の Ned Williamson 氏 Kernel 対象 OS：macOS Big Sur 影響：アプリがカーネルメモリを漏洩させる可能性がある。 説明：入力のサニタイズ処理を強化し、検証の脆弱性に対処しました。 CVE-2023-28200：Arsenii Kostromin 氏 (0x3c3e) Kernel 対象 OS：macOS Big Sur 影響：アプリからサービス運用妨害を受ける可能性がある。 説明：入力検証を強化することで、整数オーバーフローに対処しました。 CVE-2023-28185：STAR Labs SG Pte. Ltd. の Pan ZhenPeng 氏 2023 年 12 月 21 日に追加
LaunchServices 対象 OS：macOS Big Sur 影響：アプリがルート権限を取得できる可能性がある。 説明：この問題は、チェックを強化することで解決されました。 CVE-2023-23525：Mickey Jin 氏 (@patch1t) 2023 年 5 月 11 日に追加
libpthread 対象 OS：macOS Big Sur 影響：アプリがカーネル権限で任意のコードを実行できる可能性がある。 説明：チェックを強化し、型の取り違え (type confusion) の脆弱性に対処しました。 CVE-2023-41075：Kunlun Lab の Zweig 氏 2023 年 12 月 21 日に追加
Mail 対象 OS：macOS Big Sur 影響：アプリが重要な情報を表示できる可能性がある。 説明：チェックを強化することで、この問題に対処しました。 CVE-2023-28189：Mickey Jin 氏 (@patch1t) 2023 年 5 月 11 日に追加
Messages 対象 OS：macOS Big Sur 影響：アプリが重要なユーザデータにアクセスできる可能性がある。 説明：サンドボックスの制限を追加で設けて、アクセス関連の脆弱性に対処しました。 CVE-2023-28197：Joshua Jones 氏 2023 年 12 月 21 日に追加
NetworkExtension 対象 OS：macOS Big Sur 影響：ネットワーク上で特権的な地位を持つユーザに、デバイスで EAP-only 認証を用いて構成された VPN サーバを偽装される可能性がある。 説明：認証を強化することで、この問題に対処しました。 CVE-2023-28182：Zhuowei Zhang 氏 PackageKit 対象 OS：macOS Big Sur 影響：ファイルシステムの保護された部分をアプリに変更されるおそれがある。 説明：チェックを強化し、ロジックの脆弱性に対処しました。 CVE-2023-27962：Mickey Jin 氏 (@patch1t) Podcasts 対象 OS：macOS Big Sur 影響：アプリが重要なユーザデータにアクセスできる可能性がある。 説明：チェックを強化することで、この問題に対処しました。 CVE-2023-27942：Mickey Jin 氏 (@patch1t) 2023 年 5 月 11 日に追加
System Settings 対象 OS：macOS Big Sur 影響：アプリが重要なユーザデータにアクセスできる可能性がある。 説明：ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。 CVE-2023-23542：Adam M. 氏 2023 年 12 月 21 日に更新
System Settings 対象 OS：macOS Big Sur 影響：アプリが重要な位置情報を読み取れる可能性がある。 説明：検証を改良し、アクセス許可の脆弱性に対処しました。 CVE-2023-28192：Best Buddy Apps の Guilherme Rambo 氏 (rambo.codes) Vim 対象 OS：macOS Big Sur 影響：Vim に複数の脆弱性がある。 説明：Vim をバージョン 9.0.1191 にアップデートして、複数の脆弱性に対処しました。 CVE-2023-0433 CVE-2023-0512 XPC 対象 OS：macOS Big Sur 影響：アプリがサンドボックスを破って外部で実行される可能性がある。 説明：この問題は、新しいエンタイトルメントによって解決されました。 CVE-2023-27944：Mickey Jin 氏 (@patch1t)
ご協力いただいたその他の方々
Activation Lock
Christian Mina 氏のご協力に感謝いたします。
AppleMobileFileIntegrity
SecuRing の Wojciech Reguła 氏 (@_r3ggi) (wojciechregula.blog) のご協力に感謝いたします。
CoreServices
Mickey Jin 氏 (@patch1t) のご協力に感謝いたします。
NSOpenPanel
Alexandre Colucci 氏 (@timacfr) のご協力に感謝いたします。
Wi-Fi
匿名の研究者のご協力に感謝いたします。