Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
macOS Mojave 10.14
Releasedatum 24 september 2018
Bluetooth
Beschikbaar voor: iMac (21,5-inch, eind 2012), iMac (27-inch, eind 2012), iMac (21,5-inch, eind 2013), iMac (21.5-inch, medio 2014), iMac (Retina 5K, 27-inch, eind 2014), iMac (21,5-inch, eind 2015), Mac mini (medio 2011), Mac mini Server (medio 2011), Mac mini (eind 2012), Mac mini Server (eind 2012), Mac mini (eind 2014), Mac Pro (eind 2013), MacBook Air (11-inch, medio 2011), MacBook Air (13-inch, medio 2011), MacBook Air (11-inch, medio 2012), MacBook Air (13-inch, medio 2012), MacBook Air (11-inch, medio 2013), MacBook Air (13-inch, medio 2013), MacBook Air (11-inch, begin 2015), MacBook Air (13-inch, begin 2015), MacBook Pro (13-inch, medio 2012), MacBook Pro (15-inch, medio 2012), MacBook Pro (Retina, 13-inch, begin 2013), MacBook Pro (Retina, 15-inch, begin 2013), MacBook Pro (Retina, 13-inch, eind 2013) en MacBook Pro (Retina, 15-inch, eind 2013)
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk Bluetooth-verkeer onderscheppen
Beschrijving: er was een probleem met de invoervalidatie in Bluetooth. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2018-5383: Lior Neumann en Eli Biham
De onderstaande updates zijn beschikbaar voor deze Mac-modellen: MacBook (begin 2015 en later), MacBook Air (medio 2012 en later), MacBook Pro (medio 2012 en later), Mac mini (eind 2012 en later), iMac (eind 2012 en later), iMac Pro (alle modellen), Mac Pro (eind 2013, medio 2010 en modellen van medio 2012 met aanbevolen grafische kaart die Metal ondersteunt, waaronder MSI Gaming Radeon RX 560 en Sapphire Radeon PULSE RX 580)
afpserver
Impact: een externe aanvaller kan AFP-servers via HTTP-clients aanvallen
Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.
CVE-2018-4295: Jianjun Chen (@whucjj) van Tsinghua University en UC Berkeley
Toegevoegd op 30 oktober 2018
App Store
Impact: een schadelijk programma kan de Apple ID van de eigenaar van de computer achterhalen
Beschrijving: er was een probleem met bevoegdheden bij de verwerking van de Apple ID. Dit probleem is verholpen door verbeterde toegangscontroles.
CVE-2018-4324: Sergii Kryvoblotskyi van MacPaw Inc.
AppleGraphicsControl
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2018-4417: Lee van het Information Security Lab, Yonsei University in samenwerking met Trend Micro's Zero Day Initiative
Toegevoegd op 30 oktober 2018
Programma-firewall
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: een configuratieprobleem is verholpen door extra beperkingen.
CVE-2018-4353: Abhinav Bansal of LinkedIn Inc.
Bijgewerkt op 30 oktober 2018
APR
Impact: er waren meerdere problemen met de bufferoverloop in Perl
Beschrijving: meerdere problemen in Perl zijn verholpen door een verbeterde verwerking van het geheugen.
CVE-2017-12613: Craig Young van Tripwire VERT
CVE-2017-12618: Craig Young van Tripwire VERT
Toegevoegd op 30 oktober 2018
ATS
Impact: een kwaadaardig programma kan de bevoegdheden verhogen
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2018-4411: lilang wu moony Li van Trend Micro in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 30 oktober 2018
ATS
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde controle van de grenzen.
CVE-2018-4308: Mohamed Ghannam (@_simo36)
Toegevoegd op 30 oktober 2018
Automatische ontgrendeling
Impact: een schadelijk programma heeft mogelijk toegang tot de Apple ID's van lokale gebruikers
Beschrijving: er was een probleem met de validatie in de verificatie van toegangsrechten. Dit probleem is verholpen met verbeterde validatie van de toegangsrechten van processen.
CVE-2018-4321: Min (Spark) Zheng, Xiaolong Bai van Alibaba Inc.
CFNetwork
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4126: Bruno Keith (@bkth_) in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 30 oktober 2018
CoreFoundation
Impact: een kwaadaardig programma kan de bevoegdheden verhogen
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2018-4412: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk
Toegevoegd op 30 oktober 2018
CoreFoundation
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2018-4414: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk
Toegevoegd op 30 oktober 2018
CoreText
Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2018-4347: Vasyl Tkachuk van Readdle
Toegevoegd op 30 oktober 2018, bijgewerkt op 13 december 2018
Crashrapportage
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2018-4333: Brandon Azad
CUPS
Impact: in bepaalde omstandigheden kan een externe aanvaller de inhoud van het bericht van de printerserver vervangen door willekeurige inhoud
Beschrijving: een probleem met invoegen is opgelost door een verbeterde validatie.
CVE-2018-4153: Michael Hanselmann van hansmi.ch
Toegevoegd op 30 oktober 2018
CUPS
Impact: een aanvaller in een geprivilegieerde positie kan een denial of service-aanval uitvoeren
Beschrijving: een probleem met denial of service is verholpen door een verbeterde validatie.
CVE-2018-4406: Michael Hanselmann van hansmi.ch
Toegevoegd op 30 oktober 2018
Woordenboek
Impact: het parseren van een kwaadwillig vervaardigd woordenboekbestand kan leiden tot het vrijgeven van gebruikersgegevens
Beschrijving: er was een validatieprobleem waardoor toegang tot lokale bestanden mogelijk was. Dit is verholpen door invoeropschoning.
CVE-2018-4346: Wojciech Reguła (@_r3ggi) van SecuRing
Toegevoegd op 30 oktober 2018
DiskArbitration
Impact: een kwaadwillig vervaardigde toepassing kan mogelijk de inhoud van de EFI-systeempartitie wijzigen en willekeurige code uitvoeren met kernelbevoegdheden als 'Veilig opstarten' niet is ingeschakeld.
Beschrijving: er was een probleem met bevoegdheden voor DiskArbitration. Dit is verholpen door extra controles van de eigendomsrechten.
CVE-2018-4296: Vitaly Cheptsov
Bijgewerkt op 22 januari 2019
dyld
Impact: een kwaadwillig vervaardigd programma kan mogelijk beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: een configuratieprobleem is verholpen door extra beperkingen.
CVE-2018-4433: Vitaly Cheptsov
Bijgewerkt op 22 januari 2019
Grand Central Dispatch
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4426: Brandon Azad
Toegevoegd op 30 oktober 2018
Heimdal
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4331: Brandon Azad
CVE-2018-4332: Brandon Azad
CVE-2018-4343: Brandon Azad
Toegevoegd op 30 oktober 2018
Hypervisor
Impact: systemen met microprocessors die gebruikmaken van speculative execution en adresvertalingen staan mogelijk ongeautoriseerde vrijgave toe van informatie die aanwezig is in de L1-gegevenscache aan een aanvaller met lokale gebruikerstoegang en gastbevoegdheid voor het OS, via een fatale wisselbestandsfout en een side-channel-analyse
Beschrijving: een probleem met de vrijgave van informatie is opgelost door de L1-gegevenscache leeg te maken bij de invoer van de virtuele machine.
CVE-2018-3646: Baris Kasikci, Daniel Genkin, Ofir Weisse en Thomas F. Wenisch van University of Michigan, Mark Silberstein en Marina Minkin van Technion, Raoul Strackx, Jo Van Bulck en Frank Piessens van KU Leuven, Rodrigo Branco, Henrique Kawakami, Ke Sun en Kekai Hu van Intel Corporation, Yuval Yarom van University of Adelaide
Toegevoegd op 30 oktober 2018
iBooks
Impact: het parseren van een kwaadwillig vervaardigd iBooks-bestand kan leiden tot het vrijgeven van gebruikersgegevens
Beschrijving: een configuratieprobleem is verholpen door extra beperkingen.
CVE-2018-4355: evi1m0 van het bilibili security team
Toegevoegd op 30 oktober 2018
Intel Graphics Driver
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2018-4396: Yu Wang van Didi Research America
CVE-2018-4418: Yu Wang van Didi Research America
Toegevoegd op 30 oktober 2018
Intel Graphics Driver
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4351: Appology Team van Theori in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 30 oktober 2018
Intel Graphics Driver
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2018-4350: Yu Wang van Didi Research America
Toegevoegd op 30 oktober 2018
Intel Graphics Driver
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4334: Ian Beer van Google Project Zero
Toegevoegd op 30 oktober 2018
Intel Graphics Driver
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie.
CVE-2018-4451: Tyler Bohan van Cisco Talos
CVE-2018-4456: Tyler Bohan van Cisco Talos
Toegevoegd op 21 december 2018, bijgewerkt op 22 januari 2019
IOHIDFamily
Impact: een kwaadaardig programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen met verbeterde invoervalidatie
CVE-2018-4408: Ian Beer van Google Project Zero
Toegevoegd op 30 oktober 2018
IOKit
Impact: een kwaadaardig programma kan buiten zijn sandbox komen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4341: Ian Beer van Google Project Zero
CVE-2018-4354: Ian Beer van Google Project Zero
Toegevoegd op 30 oktober 2018
IOKit
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2018-4383: Apple
Toegevoegd op 30 oktober 2018
IOUserEthernet
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4401: Apple
Toegevoegd op 30 oktober 2018
Kernel
Impact: een kwaadaardige app kan vertrouwelijke gebruikersinformatie vrijgeven
Beschrijving: er was een toegangsprobleem met geprivilegieerde API-aanroepen. Dit probleem is opgelost door extra beperkingen.
CVE-2018-4399: Fabiano Anemone (@anoane)
Toegevoegd op 30 oktober 2018
Kernel
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk willekeurige code uitvoeren
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2018-4407: Kevin Backhouse van Semmle Ltd.
Toegevoegd op 30 oktober 2018
Kernel
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4336: Brandon Azad
CVE-2018-4337: Ian Beer van Google Project Zero
CVE-2018-4340: Mohamed Ghannam (@_simo36)
CVE-2018-4344: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk
CVE-2018-4425: cc in samenwerking met het Zero Day Initiative van Trend Micro, Juwei Lin (@panicaII) van Trend Micro in samenwerking met het Zero Day Initiative van Trend Micro
Bijgewerkt op 30 oktober 2018
LibreSSL
Impact: meerdere problemen in libressl zijn verholpen in deze update
Beschrijving: meerdere problemen zijn verholpen door libressl bij te werken naar versie 2.6.4.
CVE-2015-3194
CVE-2015-5333
CVE-2015-5334
CVE-2016-0702
Toegevoegd op 30 oktober 2018, bijgewerkt op 13 december 2018
Inlogvenster
Impact: een lokale gebruiker kan een denial of service veroorzaken
Beschrijving: een validatieprobleem is verholpen door verbeterde logica.
CVE-2018-4348: Ken Gannon van MWR InfoSecurity en Christian Demko van MWR InfoSecurity
Toegevoegd op 30 oktober 2018
mDNSOffloadUserClient
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4326: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro, Zhuo Liang van het Qihoo 360 Nirvan Team
Toegevoegd op 30 oktober 2018
MediaRemote
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.
CVE-2018-4310: CodeColorist van Ant-Financial LightYear Labs
Toegevoegd op 30 oktober 2018
Microcode
Impact: systemen met microprocessors die gebruikmaken van speculative execution en speculative execution van het lezen van geheugen voordat de eerder naar het geheugen geschreven adressen bekend zijn, staan mogelijk ongeautoriseerde vrijgave van informatie toe aan een aanvaller met lokale gebruikerstoegang via een side-channel-analyse.
Beschrijving: een probleem met de vrijgave van informatie is opgelost door middel van bijgewerkte microcode. Dit zorgt ervoor dat oudere gegevens die zijn gelezen vanaf recent aangeschreven adressen, niet kunnen worden gelezen via een speculatief side-channel.
CVE-2018-3639: Jann Horn (@tehjh) van Google Project Zero (GPZ), Ken Johnson van het Microsoft Security Response Center (MSRC)
Toegevoegd op 30 oktober 2018
Beveiliging
Impact: een lokale gebruiker kan een denial of service veroorzaken
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2018-4395: Patrick Wardle van Digita Security
Toegevoegd op 30 oktober 2018
Beveiliging
Impact: een aanvaller kan mogelijk gebruikmaken van de kwetsbaarheden in het cryptografische RC4-algoritme
Beschrijving: dit probleem is verholpen door RC4 te verwijderen.
CVE-2016-1777: Pepi Zawodsky
Spotlight
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.
CVE-2018-4393: Lufeng Li
Toegevoegd op 30 oktober 2018
Symptom Framework
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde controle van de grenzen.
CVE-2018-4203: Bruno Keith (@bkth_) in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 30 oktober 2018
Tekst
Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot een denial of service
Beschrijving: een probleem met denial of service is verholpen door een verbeterde validatie.
CVE-2018-4304: jianan.huang (@Sevck)
Toegevoegd op 30 oktober 2018
Wifi
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2018-4338: Lee van SECLAB, Yonsei University in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 23 oktober 2018
Aanvullende erkenning
Framework voor toegankelijkheid
Met dank aan Ryan Govostes voor zijn hulp.
Core Data
Met dank aan Andreas Kurtz (@aykay) van NESO Security Labs GmbH voor zijn hulp.
CoreDAV
Met dank aan Matthew Thomas van Verisign voor zijn hulp.
Toegevoegd op 13 december 2018, bijgewerkt op 21 december 2018
CoreGraphics
Met dank aan Nitin Arya van Roblox Corporation voor zijn hulp.
CoreSymbolication
Met dank aan Brandon Azad voor zijn hulp.
Toegevoegd op 13 december 2018
IOUSBHostFamily
Met dank aan Dragos Ruiu van CanSecWest voor zijn hulp.
Toegevoegd op 13 december 2018
Kernel
Met dank aan Brandon Azad voor zijn hulp.
Toegevoegd op 13 december 2018
Met dank aan Alessandro Avagliano van Rocket Internet SE, John Whitehead van The New York Times, Kelvin Delbarre van Omicron Software Systems en Zbyszek Żółkiewski voor hun hulp.
Snelle weergave
Met dank aan lokihardt van Google Project Zero, Wojciech Reguła (@_r3ggi) van SecuRing en Patrick Wardle van Digita Security voor hun hulp.
Toegevoegd op 13 december 2018
Beveiliging
Met dank aan Christoph Sinai, Daniel Dudek (@dannysapples) van The Irish Times en Filip Klubička (@lemoncloak) van ADAPT Centre, Dublin Institute of Technology, Istvan Csanady van Shapr3D, Omar Barkawi van ITG Software, Inc., Phil Caleno, Wilson Ding en een anonieme onderzoeker voor hun hulp.
SQLite
Met dank aan Andreas Kurtz (@aykay) van NESO Security Labs GmbH voor zijn hulp.
Terminal
Met dank aan een anonieme onderzoeker voor de hulp.
Toegevoegd op 13 december 2018
Time Machine
Met dank aan Matthew Thomas van Verisign voor zijn hulp.
Bijgewerkt op 22 januari 2019
WindowServer
Met dank aan Patrick Wardle van Digita Security voor zijn hulp.
Toegevoegd op 13 december 2018