Over de beveiligingsinhoud van macOS Catalina 10.15.3, Beveiligingsupdate 2020-001 Mojave, Beveiligingsupdate 2020-001 High Sierra
In dit document wordt de beveiligingsinhoud beschreven van macOS Catalina 10.15.3, Beveiligingsupdate 2020-001 Mojave en Beveiligingsupdate 2020-001 High Sierra.
Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
macOS Catalina 10.15.3, Beveiligingsupdate 2020-001 Mojave, Beveiligingsupdate 2020-001 High Sierra
AnnotationKit
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-3877: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro
apache_mod_php
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: meerdere problemen in PHP
Beschrijving: meerdere problemen zijn verholpen door bij te werken naar PHP-versie 7.3.11.
CVE-2019-11043
Audio
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3857: Zhuo Liang van het Qihoo 360 Vulcan Team
autofs
Beschikbaar voor: macOS Catalina 10.15.2
Impact: bij het zoeken naar en openen van een bestand vanaf een door een aanvaller gecontroleerd NFS-volume kan Gatekeeper mogelijk worden omzeild
Beschrijving: dit probleem is verholpen met aanvullende controles door Gatekeeper bij bestanden die zijn geactiveerd via een netwerkshare.
CVE-2020-3866: Jose Castro Almeida (@HackerOn2Wheels) en René Kroka (@rene_kroka)
CoreBluetooth
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2020-3848: Jianjun Dai van het Qihoo 360 Alpha Lab
CVE-2020-3849: Jianjun Dai van het Qihoo 360 Alpha Lab
CVE-2020-3850: Jianjun Dai van het Qihoo 360 Alpha Lab
CoreBluetooth
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: een externe aanvaller kan geheugen vrijgeven
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-3847: Jianjun Dai van Qihoo 360 Alpha Lab
Crashrapportage
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: een kwaadaardig programma kan mogelijk toegang verkrijgen tot beperkte bestanden
Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.
CVE-2020-3835: Csaba Fitzl (@theevilbit)
crontab
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3863: James Hutchins
Gevonden in Apps
Beschikbaar voor: macOS Catalina 10.15.2
Impact: versleutelde gegevens zijn mogelijk onjuist toegankelijk
Beschrijving: er was een probleem met de toegang van Siri Suggestions tot versleutelde gegevens. Het probleem is verholpen door de toegang tot versleutelde gegevens te beperken.
CVE-2020-9774: Bob Gendler van het National Institute of Standards and Technology
Beeldverwerking
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: het bekijken van een kwaadwillig vervaardigd JPEG-bestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2020-3827: Samuel Groß van Google Project Zero
ImageIO
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-3826: Samuel Groß van Google Project Zero
CVE-2020-3870
CVE-2020-3878: Samuel Groß van Google Project Zero
CVE-2020-3880: Samuel Groß van Google Project Zero
Intel Graphics Driver
Beschikbaar voor: macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3845: Zhuo Liang van het Qihoo 360 Vulcan Team
IOAcceleratorFamily
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3837: Brandon Azad van Google Project Zero
IOThunderboltFamily
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2020-3851: Xiaolong Bai en Min (Spark) Zheng van Alibaba Inc. en Luyi Xing van Indiana University Bloomington
IPSec
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een kwaadwillig vervaardigd racoon-configuratiebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: er was een off-by-one-fout in de verwerking van racoon-configuratiebestanden. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2020-3840: @littlelailo
Kernel
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2020-3875: Brandon Azad van Google Project Zero
Kernel
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3872: Haakon Garseg Mørk van Cognite en Cim Stordal van Cognite
Kernel
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een schadelijk programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3853: Brandon Azad van Google Project Zero
Kernel
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen
Beschrijving: een toegangsprobleem is verholpen door verbeterd geheugenbeheer.
CVE-2020-3836: Brandon Azad van Google Project Zero
Kernel
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2020-3842: Ned Williamson in samenwerking met Google Project Zero
CVE-2020-3871: Corellium
libxml2
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: het verwerken van kwaadwillig vervaardigde XML kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: een bufferoverloop is verholpen door verbeterde groottevalidatie.
CVE-2020-3846: Ranier Vilela
libxpc
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: het verwerken van een kwaadwillig vervaardigde tekenreeks kan leiden tot heapbeschadiging
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2020-3856: Ian Beer van Google Project Zero
libxpc
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2020-3829: Ian Beer van Google Project Zero
PackageKit
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een kwaadaardig programma kan willekeurige bestanden overschrijven
Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.
CVE-2020-3830: Csaba Fitzl (@theevilbit)
Beveiliging
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een kwaadaardig programma kan buiten zijn sandbox komen
Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.
CVE-2020-3854: Jakob Rieck (@0xdead10cc) en Maximilian Blochberger van de Security in Distributed Systems Group van de Universiteit van Hamburg
sudo
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: bepaalde configuraties stellen een lokale aanvaller mogelijk in staat om willekeurige code uit te voeren
Beschrijving: een probleem met bufferoverloop is verholpen door een verbeterde verwerking van het geheugen.
CVE-2019-18634: Apple
Systeem
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6
Impact: een kwaadaardig programma kan willekeurige bestanden overschrijven
Beschrijving: een toegangsprobleem is verholpen door verbeterde toegangsbeperkingen.
CVE-2020-3855: Csaba Fitzl (@theevilbit)
Wifi
Beschikbaar voor: macOS Catalina 10.15.2
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2020-3839: s0ngsari van Theori en Lee van Seoul National University in samenwerking met het Zero Day Initiative van Trend Micro
Wifi
Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2
Impact: een externe aanvaller kan het onverwacht beëindigen van het systeem of het beschadigen van het kernelgeheugen veroorzaken
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2020-3843: Ian Beer van Google Project Zero
wifivelocityd
Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: het probleem is verholpen door een verbeterde bevoegdhedenlogica.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
Aanvullende erkenning
Opslag van foto's
Met dank aan Allison Husain van UC Berkeley voor haar hulp.
SharedFileList
Met dank aan Patrick Wardle van Jamf voor zijn hulp.
Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.