Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.
Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
visionOS 1.2
Releasedatum: 10 juni 2024
CoreMedia
Beschikbaar voor: Apple Vision Pro
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27817: pattern-f (@pattern_F_) van Ant Security Light-Year Lab
CoreMedia
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van een bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.
CVE-2024-27831: Amir Bazine en Karsten König van CrowdStrike Counter Adversary Operations
Disk Images
Beschikbaar voor: Apple Vision Pro
Impact: een app kan bevoegdheden verhogen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27832: een anonieme onderzoeker
Foundation
Beschikbaar voor: Apple Vision Pro
Impact: een app kan bevoegdheden verhogen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27801: CertiK SkyFall Team
ImageIO
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27836: Junsung Lee in samenwerking met het Zero Day Initiative van Trend Micro
IOSurface
Beschikbaar voor: Apple Vision Pro
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2024-27828: Pan ZhenPeng (@Peterpan0927) van STAR Labs SG Pte. Ltd.
Kernel
Beschikbaar voor: Apple Vision Pro
Impact: een aanvaller die al kernelcode kan uitvoeren, kan mogelijk ook beveiligingsmechanismen van het kernelgeheugen omzeilen
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2024-27840: een anonieme onderzoeker
Kernel
Beschikbaar voor: Apple Vision Pro
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.
CVE-2024-27815: een anonieme onderzoeker en Joseph Ravichandran (@0xjprx) van MIT CSAIL
libiconv
Beschikbaar voor: Apple Vision Pro
Impact: een app kan bevoegdheden verhogen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27811: Nick Wellnhofer
Messages
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van een kwaadwillig vervaardigd e-mailbericht kan leiden tot een denial-of-service
Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.
CVE-2024-27800: Daniel Zajork en Joshua Zajork
Metal
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van een kwaadwillig vervaardigd bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2024-27802: Meysam Firouzi (@R00tkitsmm) in samenwerking met het Zero Day Initiative van Trend Micro
Metal
Beschikbaar voor: Apple Vision Pro
Impact: een externe aanvaller kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met de toegang buiten het bereik is verholpen door verbeterde bereikcontrole.
CVE-2024-27857: Michael DePlante (@izobashi) van het Zero Day Initiative van Trend Micro
Safari
Beschikbaar voor: Apple Vision Pro
Impact: het dialoogvenster waarin om toestemming wordt gevraag, blijft geopend nadat de site is verlaten
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2024-27844: Narendra Bhati van Suma Soft Pvt. Ltd in Pune (India), Shaheen Fazim
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: een kwaadwillig vervaardigde webpagina heeft mogelijk toegang tot unieke gegevens of de locatie van de gebruiker
Beschrijving: dit probleem is verholpen door extra logica toe te voegen.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos van Mozilla
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
WebKit Bugzilla: 268221
CVE-2024-27808: Lukas Bernhard van CISPA Helmholtz Center for Information Security
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van webmateriaal kan leiden tot een denial-of-service
Beschrijving: een logicaprobleem is verholpen door verbeterd bestandsbeheer.
CVE-2024-27812: Ryan Pickren (ryanpickren.com)
Bijgewerkt op 20 juni 2024
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: een kwaadwillig vervaardigde webpagina heeft mogelijk toegang tot unieke gegevens of de locatie van de gebruiker
Beschrijving: dit probleem is verholpen door verbeteringen van het algoritme voor ruistoevoeging.
WebKit Bugzilla: 270767
CVE-2024-27850: een anonieme onderzoeker
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.
WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp) in samenwerking met het Zero Day Initiative van Trend Micro
WebKit
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot het uitvoeren van willekeurige code
Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13) van het 360 Vulnerability Research Institute
WebKit Canvas
Beschikbaar voor: Apple Vision Pro
Impact: een kwaadwillig vervaardigde webpagina heeft mogelijk toegang tot unieke gegevens of de locatie van de gebruiker
Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387) van Crawless en @abrahamjuliot
WebKit Web Inspector
Beschikbaar voor: Apple Vision Pro
Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson van underpassapp.com
Aanvullende erkenning
ImageIO
Met dank aan een anonieme onderzoeker voor de hulp.
Transparency
Met dank aan Mickey Jin (@patch1t) voor de hulp.