Over de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra
In dit document wordt de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra beschreven.
Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra
Framework voor toegankelijkheid
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2019-8603: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro
AMD
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8635: Lilang Wu en Moony Li van het TrendMicro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro
Appfirewall
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2019-8590: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk
Archiveringshulpprogramma
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2019-8640: Ash Fox van Fitbit Product Security
Bluetooth
Beschikbaar voor: macOS Mojave 10.14.4
Impact: vanwege een fout in de configuratie van de Bluetooth koppelprotocollen van een BLE-versie (Bluetooth Low Energy) van FIDO-beveiligingssleutels kan een aanvaller die fysiek in de buurt is, mogelijk Bluetooth-verkeer onderscheppen tijdens het koppelen
Beschrijving: dit probleem is verholpen door accessoires met een onveilige Bluetooth-verbinding uit te schakelen. Klanten die de BLE-versie (Bluetooth Low Energy) van de Titan-beveiligingssleutel van Google gebruiken, moeten de Android-beveiligingsbulletins van juni en Google's advies daarin raadplegen en de gepaste maatregelen nemen.
CVE-2019-2102: Matt Beaver en Erik Peterson van Microsoft Corp.
CoreAudio
Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van fouten.
CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
CoreAudio
Beschikbaar voor: macOS Mojave 10.14.4
Impact: het verwerken van een kwaadwillig vervaardigd filmbestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2019-8585: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
CoreText
Beschikbaar voor: macOS Mojave 10.14.4
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het vrijgeven van procesgeheugen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2019-8582: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro
DesktopServices
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een kwaadaardig programma kan Gatekeeper-controles omzeilen
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2019-8589: Andreas Clementi, Stefan Haselwanter en Peter Stelzhammer van AV-Comparatives
Schijfkopieën
Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2019-8560: Nikita Pupyshev van Bauman Moscow State Technological University
EFI
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een gebruiker kan onverwacht worden ingelogd bij de account van een andere gebruiker
Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.
CVE-2019-8634: Jenny Sprenger en Maik Hoepfel
Intel Graphics Driver
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8616: Lilang Wu en Moony Li van het Trend Micro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro
Intel Graphics Driver
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8629: Arash Tohidi van Solita Oy
IOAcceleratorFamily
Beschikbaar voor: macOS High Sierra 10.13.6
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4456: Tyler Bohan van Cisco Talos
IOKit
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een lokale gebruiker kan niet-ondertekende kernelextensies laden
Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.
CVE-2019-8606: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro
Kernel
Beschikbaar voor: macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2019-8633: Zhuo Liang van het Qihoo 360 Vulcan Team
Kernel
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2019-8525: Zhuo Liang en shrek_wzw van het Qihoo 360 Nirvan Team
Kernel
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Impact: een externe aanvaller kan geheugen vrijgeven
Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2019-8547: derrek (@derrekr6)
Kernel
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2019-8576: Brandon Azad van Google Project Zero, Junho Jang en Hanul Choi van LINE Security Team
Kernel
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een programma kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen
Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8591: Ned Williamson in samenwerking met Google Project Zero
Berichten
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een externe aanvaller kan mogelijk zorgen voor een system denial of service
Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.
CVE-2019-8573: natashenka van Google Project Zero
Berichten
Beschikbaar voor: macOS Mojave 10.14.4
Impact: gebruikers die zijn verwijderd van een iMessage-gesprek, zouden de status nog steeds kunnen wijzigen
Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.
CVE-2019-8631: Jamie Bishop van Dynastic
Microcode
Beschikbaar voor: macOS Mojave 10.14.4
Impact: laadpoorten, fill buffers en opslagbuffers in systemen met microprocessors die gebruikmaken van 'speculative execution', kunnen een aanvaller met gebruikerstoegang de mogelijkheid geven informatie openbaar te maken via een zijkanaal
Beschrijving: meerdere problemen met openbaarmaking van informatie zijn deels verholpen door de microcode bij te werken en de OS-scheduler te wijzigen om het systeem te isoleren van webcontent uit de browser. Om dit probleem volledig te verhelpen, zijn er aanvullende opt-in-maatregelen om hyper-threading uit te schakelen en maatregelen gebaseerd op microcode voor alle processen standaard in te schakelen. Meer informatie over de maatregelen kunnen gevonden worden op https://support.apple.com/nl-nl/HT210107.
CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin van de University of Michigan en Yuval Yarom van de University of Adelaide
CVE-2018-12127: Brandon Falk van het Microsoft Windows Platform Security Team en Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel
CVE-2018-12130: Giorgi Maisuradze van Microsoft Research; Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology; Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos en Cristiano Giuffrida van de VUSec group van VU Amsterdam; Volodymyr Pikhur en Dan Horea Lutas van BitDefender
CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel en Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology
Beveiliging
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8604: Fluoroacetate in samenwerking met het Zero Day Initiative van Trend Micro
SQLite
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: een probleem met invoervalidatie is verholpen door een verbeterde geheugenverwerking.
CVE-2019-8577: Omer Gull van Checkpoint Research
SQLite
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een kwaadwillig vervaardigde SQL-zoekactie kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2019-8600: Omer Gull van Checkpoint Research
SQLite
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een kwaadaardig programma kan beperkt geheugen lezen
Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.
CVE-2019-8598: Omer Gull van Checkpoint Research
SQLite
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een kwaadaardig programma kan de bevoegdheden verhogen
Beschrijving: een probleem met geheugenbeschadiging is opgelost door de kwetsbare code te verwijderen.
CVE-2019-8602: Omer Gull van Checkpoint Research
StreamingZip
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een lokale gebruiker kan beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.
CVE-2019-8568: Dany Lisiansky (@DanyL931)
sysdiagnose
Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.
CVE-2019-8574: Dayton Pidhirney (@_watbulb) van Seekintoo (@seekintoo)
Ondersteuning voor Touch Bar
Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-8569: Viktor Oreshkin (@stek29)
WebKit
Beschikbaar voor: macOS Mojave 10.14.4
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-6237: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro, Liu Long van het Qihoo 360 Vulcan Team
CVE-2019-8571: 01 in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8583: sakura van het Xuanwu Lab van Tencent, jessica (@babyjess1ca_) van het Keen Lab van Tencent en dwfault werkzaam bij het ADLab van Venustech
CVE-2019-8584: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8586: een anonieme onderzoeker
CVE-2019-8587: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8594: Suyoung Lee en Sooel Son van het KAIST Web Security & Privacy Lab en HyungSeok Han en Sang Kil Cha van het KAIST SoftSec Lab
CVE-2019-8595: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8596: Wen Xu van het SSLab van Georgia Tech
CVE-2019-8597: 01 in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8601: Fluoroacetate in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8608: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8609: Wen Xu van het SSLab, Georgia Tech
CVE-2019-8610: Anoniem in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8611: Samuel Groß van Google Project Zero
CVE-2019-8615: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro
CVE-2019-8619: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab
CVE-2019-8622: Samuel Groß van Google Project Zero
CVE-2019-8623: Samuel Groß van Google Project Zero
CVE-2019-8628: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab
WebKit
Beschikbaar voor: macOS Mojave 10.14.4
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2019-8607: Junho Jang en Hanul Choi van het LINE Security Team
Wifi
Beschikbaar voor: macOS Mojave 10.14.4
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan de status van een besturingsbestand wijzigen
Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.
CVE-2019-8612: Milan Stute van het Secure Mobile Networking Lab van Technische Universität Darmstadt
Aanvullende erkenning
CoreAudio
Met dank aan riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro voor hun hulp.
CoreFoundation
Met dank aan m4bln, Xiangqian Zhang en Huiming Liu van het Xuanwu Lab van Tencent en Vozzie en Rami voor hun hulp.
Kernel
Met dank aan Denis Kopyrin voor zijn hulp.
PackageKit
Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.
Safari
Met dank aan Michael Ball van Gradescope by Turnitin voor zijn hulp.
Systeemvoorkeuren
Met dank aan een anonieme onderzoeker voor de hulp.
Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.