Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
OS X El Capitan v10.11.6 en Beveiligingsupdate 2016-004
Gepubliceerd op 18 juli 2016
apache_mod_php
Beschikbaar voor: OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: er waren meerdere problemen in de versies van PHP lager dan 5.5.36. Deze zijn verholpen door PHP bij te werken naar versie 5.5.36.
CVE-2016-5093
CVE-2016-5094
CVE-2016-5096
CVE-2013-7456
Audio
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan zorgen voor denial of service van het systeem
Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.
CVE-2016-4649: Juwei Lin(@fuzzerDOTcn) van Trend Micro
Audio
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4647: Juwei Lin(@fuzzerDOTcn) van Trend Micro
Audio
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan de indeling van het kernelgeheugen bepalen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2016-4648: Juwei Lin(@fuzzerDOTcn) van Trend Micro; Jack Tang en Moony Li van Trend Micro in samenwerking met het Zero Day Initiative van Trend Micro
Audio
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het parseren van een kwaadwillig vervaardigd audiobestand kan leiden tot het vrijgeven van gebruikersgegevens
Beschrijving: een probleem met lezen buiten het bereik is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2016-4646: Steven Seeley van Source Incite in samenwerking met het Zero Day Initiative van Trend Micro
bsdiff
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: er was in bspatch een overloop bij geheel getal. Dit probleem is verholpen door middel van een verbeterde controle van de grenzen.
CVE-2014-9862: een anonieme onderzoeker
CFNetwork
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan vertrouwelijke gebruikersinformatie bekijken
Beschrijving: er was een probleem met bevoegdheden bij de verwerking van webbrowsercookies. Dit probleem is verholpen door middel van verbeterde beperkingen.
CVE-2016-4645: Abhinav Bansal van Zscaler Inc.
CFNetwork-inloggegevens
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk vertrouwelijke gebruikersgegevens vrijgeven
Beschrijving: er was een downgradeprobleem met inloggegevens voor http-verificatie die zijn opgeslagen in Sleutelhanger. Dit probleem is opgelost door de verificatietypes op te slaan met de inloggegevens.
CVE-2016-4644: Jerry Decime, gecoördineerd via CERT
CFNetwork-proxy's
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk vertrouwelijke gebruikersgegevens vrijgeven
Beschrijving: er was een validatieprobleem bij de parsering van 407-reacties. Dit probleem is verholpen door een verbeterde reactievalidatie.
CVE-2016-4643: Xiaofeng Zheng van Blue Lotus Team, Tsinghua University; Jerry Decime gecoördineerd via CERT
CFNetwork-proxy's
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een programma stuurt mogelijk ongewild een wachtwoord onversleuteld via het netwerk
Beschrijving: proxyverificatie rapporteerde ten onrechte dat http-proxy's inloggegevens beveiligd hebben ontvangen. Dit probleem is verholpen via verbeterde waarschuwingen.
CVE-2016-4642: Jerry Decime, gecoördineerd via CERT
CoreGraphics
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan de bevoegdheden verhogen
Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2016-4652: Yubin Fu van Tencent KeenLab in samenwerking met het Zero Day Initiative van Trend Micro
CoreGraphics
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4637: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)
FaceTime
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan ervoor zorgen dat een doorgezonden oproep audio blijft doorsturen terwijl het lijkt alsof de oproep is beëindigd
Beschrijving: er zijn inconsistenties in de gebruikersinterface bij de verwerking van doorgezonden oproepen. Deze problemen zijn verholpen door een verbeterde programmering van de FaceTime-weergave.
CVE-2016-4635: Martin Vigo
Grafische besturingsbestanden
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-4634: Stefan Esser van SektionEins
ImageIO
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4629: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)
CVE-2016-4630: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)
ImageIO
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan mogelijk zorgen voor een denial of service
Beschrijving: een probleem met geheugengebruik is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4632: Evgeny Sidorov van Yandex
ImageIO
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4631: Tyler Bohan van Cisco Talos (talosintel.com/vulnerability-reports)
ImageIO
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-7705: Craig Young van Tripwire VERT
Toegevoegd op 30 november 2017
Intel Graphics Driver
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een schadelijk programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4633: Marco Grassi (@marcograss) van KeenLab (@keen_lab), Tencent
IOHIDFamily
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.
CVE-2016-4626: Stefan Esser van SektionEins
IOSurface
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een 'use-after-free'-probleem is verholpen door verbeterd geheugenbeheer.
CVE-2016-4625: Ian Beer van Google Project Zero
Kernel
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-1863: Ian Beer van Google Project Zero
CVE-2016-4653: Ju Zhu van Trend Micro
CVE-2016-4582: Shrek_wzw en Proteas van Qihoo 360 Nirvan Team
Kernel
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan zorgen voor denial of service van het systeem
Beschrijving: een null pointer-dereferentieprobleem is verholpen door verbeterde invoervalidatie.
CVE-2016-1865: Marco Grassi (@marcograss) van KeenLab (@keen_lab), Tencent, CESG
Libc
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: er was een bufferoverloop in de functie 'link_ntoa()' in linkaddr.c. Dit probleem is opgelost door extra controle van de grenzen.
CVE-2016-6559: Apple
Toegevoegd op 10 januari 2017
libc++abi
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een programma kan willekeurige code uitvoeren met rootbevoegdheden
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4621: een anonieme onderzoeker
libexpat
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigde XML kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-0718: Gustavo Grieco
LibreSSL
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: er waren meerdere problemen in LibreSSL-versies lager dan 2.2.7. Deze zijn verholpen door LibreSSL bij te werken naar versie 2.2.7.
CVE-2016-2108: Huzaifa Sidhpurwala (Red Hat), Hanno Böck, David Benjamin (Google), Mark Brand en Ian Beer van Google Project Zero
CVE-2016-2109: Brian Carpenter
libxml2
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: meerdere kwetsbaarheden in libxml2
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2015-8317: Hanno Boeck
CVE-2016-1836: Wei Lei en Liu Yang van Nanyang Technological University
CVE-2016-4447: Wei Lei en Liu Yang van Nanyang Technological University
CVE-2016-4448: Apple
CVE-2016-4483: Gustavo Grieco
CVE-2016-4614: Nick Wellnhofer
CVE-2016-4615: Nick Wellnhofer
CVE-2016-4616: Michael Paddon
Bijgewerkt op 5 juni 2017
libxml2
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: het parseren van een kwaadwillig vervaardigd xml-document kan leiden tot het vrijgeven van gebruikersgegevens
Beschrijving: er was een toegangsprobleem bij het parseren van kwaadwillig vervaardigde XML-bestanden. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2016-4449: Kostya Serebryany
libxslt
Beschikbaar voor: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 en OS X El Capitan v10.11 en hoger
Impact: meerdere kwetsbaarheden in libxslt
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-1683: Nicolas Grégoire
CVE-2016-1684: Nicolas Grégoire
CVE-2016-4607: Nick Wellnhofer
CVE-2016-4608: Nicolas Grégoire
CVE-2016-4609: Nick Wellnhofer
CVE-2016-4610: Nick Wellnhofer
Bijgewerkt op 11 april 2017
Inlogvenster
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een schadelijk programma kan rootbevoegdheden verkrijgen
Beschrijving: een probleem met verwarring van het type is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4638: Yubin Fu van Tencent KeenLab in samenwerking met het Zero Day Initiative van Trend Micro
Inlogvenster
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een schadelijk programma kan willekeurige code uitvoeren waardoor gebruikersgegevens in gevaar kunnen worden gebracht
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-4640: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro
Bijgewerkt op 16 november 2016
Inlogvenster
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een schadelijk programma kan willekeurige code uitvoeren waardoor gebruikersgegevens in gevaar kunnen worden gebracht
Beschrijving: een probleem met verwarring van het type is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4641: Yubin Fu van Tencent KeenLab in samenwerking met het Zero Day Initiative van Trend Micro
Inlogvenster
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokale gebruiker kan een denial of service veroorzaken
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4639: Yubin Fu van Tencent KeenLab in samenwerking met het Zero Day Initiative van Trend Micro
OpenSSL
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een externe aanvaller kan willekeurige code uitvoeren
Beschrijving: er waren meerdere problemen in OpenSSL. Deze problemen zijn verholpen door de correcties van OpenSSL 1.0.2h/1.0.1 te backporten naar OpenSSL 0.9.8.
CVE-2016-2105: Guido Vranken
CVE-2016-2106: Guido Vranken
CVE-2016-2107: Juraj Somorovsky
CVE-2016-2108: Huzaifa Sidhpurwala (Red Hat), Hanno Böck, David Benjamin (Google), Mark Brand en Ian Beer van Google Project Zero
CVE-2016-2109: Brian Carpenter
CVE-2016-2176: Guido Vranken
QuickTime
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigd SGI-bestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-4601: Ke Liu van het Xuanwu Lab van Tencent
QuickTime
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigd Photoshop-document kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-4599: Ke Liu van het Xuanwu Lab van Tencent
QuickTime
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigde FlashPix-bitmapafbeelding kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2016-4596: Ke Liu van het Xuanwu Lab van Tencent
CVE-2016-4597: Ke Liu van het Xuanwu Lab van Tencent
CVE-2016-4600: Ke Liu van het Xuanwu Lab van Tencent
CVE-2016-4602: Ke Liu van het Xuanwu Lab van Tencent
QuickTime
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2016-4598: Ke Liu van het Xuanwu Lab van Tencent
Automatisch invullen van wachtwoorden in Safari
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: het wachtwoord van een gebruiker is mogelijk zichtbaar op het scherm
Beschrijving: er was een probleem met het automatisch invullen van wachtwoorden in Safari. Dit probleem is verholpen door een verbeterde vergelijking van formuliervelden.
CVE-2016-4595: Jonathan Lewis van DeARX Services (PTY) LTD
Sandbox-profielen
Beschikbaar voor: OS X El Capitan v10.11 en hoger
Impact: een lokaal programma kan toegang hebben tot het procesoverzicht
Beschrijving: er was een toegangsprobleem met geprivilegieerde API-aanroepen. Dit probleem is verholpen door extra beperkingen.
CVE-2016-4594: Stefan Esser van SektionEins
OS X El Capitan v10.11.6 bevat de beveiligingsinhoud van Safari 9.1.2.