Over de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra

In dit document wordt de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra

Releasedatum: 13 mei 2019

Framework voor toegankelijkheid

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8603: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro

AMD

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8635: Lilang Wu en Moony Li van het TrendMicro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro

Programma-firewall

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8590: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk

CoreAudio

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van fouten.

CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

CoreAudio

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van een kwaadwillig vervaardigd filmbestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8585: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

DesktopServices

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadaardig programma kan Gatekeeper-controles omzeilen

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2019-8589: Andreas Clementi, Stefan Haselwanter en Peter Stelzhammer van AV-Comparatives

Schijfkopieën

Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8560: Nikita Pupyshev van Bauman Moscow State Technological University

Bijgewerkt op 14 mei 2019

EFI

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een gebruiker kan onverwacht worden ingelogd bij de account van een andere gebruiker

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2019-8634: Jenny Sprenger en Maik Hoepfel

Intel Graphics Driver

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8616: Lilang Wu en Moony Li van het Trend Micro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro

Intel Graphics Driver

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8629: Arash Tohidi van Solita Oy

IOAcceleratorFamily

Beschikbaar voor: macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2018-4456: Tyler Bohan van Cisco Talos

IOKit

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een lokale gebruiker kan niet-ondertekende kernelextensies laden

Beschrijving: Er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van tekst.

CVE-2019-8606: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8525: Zhuo Liang en shrek_wzw van het Qihoo 360 Nirvan Team

Toegevoegd op 14 mei 2019

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een externe aanvaller kan geheugen vrijgeven

Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2019-8547: derrek (@derrekr6)

Toegevoegd op 14 mei 2019

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een schadelijk programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2019-8605: Ned Williamson in samenwerking met Google Project Zero

Kernel

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde controle van de grenzen.

CVE-2019-8576: Brandon Azad van Google Project Zero, Junho Jang en Hanul Choi van LINE Security Team

Bijgewerkt op 30 mei 2019

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen

Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8591: Ned Williamson in samenwerking met Google Project Zero

Berichten

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een externe aanvaller kan mogelijk zorgen voor een system denial of service

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8573: Natalie Silvanovich van Google Project Zero

Toegevoegd op 3 juli 2019

Microcode

Beschikbaar voor: macOS Mojave 10.14.4

Impact: laadpoorten, fill buffers en opslagbuffers in systemen met microprocessors die gebruikmaken van 'speculative execution', kan een aanvaller met gebruikerstoegang de mogelijkheid geven informatie openbaar te maken via een zijkanaal

Beschrijving: meerdere problemen met openbaarmaking van informatie zijn deels verholpen door de microcode bij te werken en de OS-scheduler te wijzigen om het systeem te isoleren van webcontent uit de browser. Om dit probleem volledig te verhelpen, zijn er aanvullende opt-in-maatregelen om hyper-threading uit te schakelen en maatregelen gebaseerd op microcode voor alle processen standaard in te schakelen. Meer informatie over de maatregelen kunnen gevonden worden op https://support.apple.com/nl-nl/HT210107.

CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin van de University of Michigan en Yuval Yarom van de University of Adelaide

CVE-2018-12127: Brandon Falk van het Microsoft Windows Platform Security Team en Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel

CVE-2018-12130: Giorgi Maisuradze van Microsoft Research; Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology; Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos en Cristiano Giuffrida van de VUSec group van VU Amsterdam; Volodymyr Pikhur en Dan Horea Lutas van BitDefender

CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel en Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology

Toegevoegd op 14 mei 2019

Beveiliging

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8604: Fluoroacetate in samenwerking met het Zero Day Initiative van Trend Micro

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden

Beschrijving: een probleem met invoervalidatie is verholpen door een verbeterde geheugenverwerking.

CVE-2019-8577: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadwillig vervaardigde SQL-zoekactie kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2019-8600: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadwillig vervaardigd programma kan beperkt geheugen lezen

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8598: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadaardig programma kan de bevoegdheden verhogen

Beschrijving: een probleem met geheugenbeschadiging is opgelost door de kwetsbare code te verwijderen.

CVE-2019-8602: Omer Gull van Checkpoint Research

StreamingZip

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een lokale gebruiker kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: Er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van tekst.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8574: Dayton Pidhirney (@_watbulb) van Seekintoo (@seekintoo)

Ondersteuning voor Touch Bar

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8569: Viktor Oreshkin (@stek29)

WebKit

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-6237: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro, Liu Long van het Qihoo 360 Vulcan Team

CVE-2019-8571: 01 in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8583: sakura van het Tencent Xuanwu Lab, jessica (@babyjess1ca_) van het Tencent Keen Lab en dwfault werkzaam bij het ADLab van Venustech

CVE-2019-8584: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8586: een anonieme onderzoeker

CVE-2019-8587: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8594: Suyoung Lee en Sooel Son van het KAIST Web Security & Privacy Lab en HyungSeok Han en Sang Kil Cha van het KAIST SoftSec Lab

CVE-2019-8595: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8596: Wen Xu van het SSLab van Georgia Tech

CVE-2019-8597: 01 in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8601: Fluoracetate in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8608: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8609: Wen Xu van het SSLab, Georgia Tech

CVE-2019-8610: Anoniem in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8611: Samuel Groß van Google Project Zero

CVE-2019-8615: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8619: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab

CVE-2019-8622: Samuel Groß van Google Project Zero

CVE-2019-8623: Samuel Groß van Google Project Zero

CVE-2019-8628: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab

WebKit

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8607: Junho Jang en Hanul Choi van het LINE Security Team

Wifi

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan de status van een besturingsbestand wijzigen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2019-8612: Milan Stute van het Secure Mobile Networking Lab van Technische Universität Darmstadt

Toegevoegd op 14 mei 2019

Aanvullende erkenning

CoreFoundation

Met dank aan m4bln, Xiangqian Zhang en Huiming Liu van het Xuanwu Lab van Tencent en Vozzie en Rami voor hun hulp.

Bijgewerkt op 14 mei 2019

Kernel

Met dank aan Denis Kopyrin voor zijn hulp.

Bijgewerkt op 14 mei 2019

PackageKit

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Safari

Met dank aan Michael Ball van Gradescope by Turnitin voor zijn hulp.

Systeemvoorkeuren

Met dank aan een anonieme onderzoeker voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: