Over de beveiligingsinhoud van macOS Monterey 12.6.4
In dit document wordt de beveiligingsinhoud van macOS Monterey 12.6.4 beschreven.
Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
macOS Monterey 12.6.4
Releasedatum: 27 maart 2023
Apple Neural Engine
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2023-23540: Mohamed GHANNAM (@_simo36)
AppleMobileFileIntegrity
Beschikbaar voor: macOS Monterey
Impact: een gebruiker kan mogelijk toegang verkrijgen tot beveiligde onderdelen van het bestandssysteem
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2023-23527: Mickey Jin (@patch1t)
Archive Utility
Beschikbaar voor: macOS Monterey
Impact: een archief kan Gatekeeper mogelijk omzeilen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2023-27951: Brandon Dalton (@partyD0lphin) van Red Canary en Csaba Fitzl (@theevilbit) van Offensive Security
Bijgewerkt op donderdag 8 juni 2023
Agenda
Beschikbaar voor: macOS Monterey
Impact: het importeren van een kwaadwillig vervaardigde agenda-uitnodiging kan gebruikersinformatie exfiltreren
Beschrijving: verscheidene validatieproblemen zijn verholpen door een verbeterde invoeropschoning.
CVE-2023-27961: Rıza Sabuncu (@rizasabuncu)
ColorSync
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk willekeurige bestanden lezen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2023-27955: JeongOhKyea
CommCenter
Beschikbaar voor: macOS Monterey
Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.
CVE-2023-27936: Tingting Yin van Tsinghua University
CoreCapture
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2023-28181: Tingting Yin van Tsinghua University
Toegevoegd op donderdag 8 juni 2023
CoreServices
Beschikbaar voor: macOS Monterey
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: dit probleem is verholpen door verbeterde controles.
CVE-2023-40398: Mickey Jin (@patch1t)
Toegevoegd op 16 juli 2024
dcerpc
Beschikbaar voor: macOS Monterey
Impact: een externe gebruiker kan het onverwacht beëindigen van apps of het uitvoeren van willekeurige code veroorzaken
Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.
CVE-2023-27935: Aleksandar Nikolic van Cisco Talos
dcerpc
Beschikbaar voor: macOS Monterey
Impact: een externe aanvaller kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met geheugeninitialisatie is verholpen.
CVE-2023-27934: Aleksandar Nikolic van Cisco Talos
Toegevoegd op donderdag 8 juni 2023
dcerpc
Beschikbaar voor: macOS Monterey
Impact: een externe gebruiker kan het onverwacht beëindigen van het systeem of het beschadigen van het kernelgeheugen veroorzaken
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2023-27953: Aleksandar Nikolic van Cisco Talos
CVE-2023-27958: Aleksandar Nikolic van Cisco Talos
Find My
Beschikbaar voor: macOS Monterey
Impact: een app kan vertrouwelijke locatiegegevens lezen
Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.
CVE-2023-23537: Adam M.
Toegevoegd op 21 december 2023
FontParser
Beschikbaar voor: macOS Monterey
Impact: het verwerken van een lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.
CVE-2023-32366: Ye Zhang (@VAR10CK) van Baidu Security
Toegevoegd op 21 december 2023
Foundation
Beschikbaar voor: macOS Monterey
Impact: het parseren van een kwaadwillig vervaardigd plist-bestand kan leiden tot het onverwacht beëindigen van de app of het uitvoeren van willekeurige code
Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.
CVE-2023-27937: een anonieme onderzoeker
ImageIO
Beschikbaar voor: macOS Monterey
Impact: het verwerken van een kwaadwillig vervaardigd bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2023-27946: Mickey Jin (@patch1t)
IOAcceleratorFamily
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.
CVE-2023-32378: Murray Mike
Toegevoegd op 21 december 2023
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk het kernelgeheugen vrijgeven
Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.
CVE-2023-27941: Arsenii Kostromin (0x3c3e)
CVE-2023-28199: Arsenii Kostromin (0x3c3e)
Toegevoegd op 8 juni 2023, bijgewerkt op 21 december 2023
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.
CVE-2023-23536: Félix Poulin-Bélanger en David Pan Ogea
Toegevoegd op 8 juni 2023, bijgewerkt op 21 december 2023
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2023-23514: Xinru Chi van Pangu Lab en Ned Williamson van Google Project Zero
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.
CVE-2023-27933: sqrtpwn
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk het kernelgeheugen vrijgeven
Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.
CVE-2023-28200: Arsenii Kostromin (0x3c3e)
Kernel
Beschikbaar voor: macOS Monterey
Impact: een app kan een denial-of-service veroorzaken
Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.
CVE-2023-28185: Pan ZhenPeng van STAR Labs SG Pte. Ltd.
Toegevoegd op 21 december 2023
libpthread
Beschikbaar voor: macOS Monterey
Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een type confusion-probleem is verholpen door verbeterde controles.
CVE-2023-41075: Zweig van Kunlun Lab
Toegevoegd op 21 december 2023
Beschikbaar voor: macOS Monterey
Impact: een app kan toegang tot vertrouwelijke gebruikersinformatie verkrijgen
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2023-28189: Mickey Jin (@patch1t)
Toegevoegd op donderdag 8 juni 2023
Berichten
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens
Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.
CVE-2023-28197: Joshua Jones
Toegevoegd op 21 december 2023
Model I/O
Beschikbaar voor: macOS Monterey
Impact: het verwerken van een kwaadwillig vervaardigd bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2023-27949: Mickey Jin (@patch1t)
NetworkExtension
Beschikbaar voor: macOS Monterey
Impact: een gebruiker in een geprivilegieerde netwerkpositie kan op een apparaat een VPN-server vervalsen die is geconfigureerd met verplichte EAP-authenticatie
Beschrijving: het probleem is verholpen door verbeterde authenticatie.
CVE-2023-28182: Zhuowei Zhang
PackageKit
Beschikbaar voor: macOS Monterey
Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: een logicaprobleem is verholpen door verbeterde controles.
CVE-2023-23538: Mickey Jin (@patch1t)
CVE-2023-27962: Mickey Jin (@patch1t)
Podcasts
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens
Beschrijving: het probleem is verholpen door verbeterde controles.
CVE-2023-27942: Mickey Jin (@patch1t)
Sandbox
Beschikbaar voor: macOS Monterey
Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: een logicaprobleem is verholpen door verbeterde controles.
CVE-2023-23533: Mickey Jin (@patch1t), Koh M. Nakagawa van FFRI Security, Inc. en Csaba Fitzl (@theevilbit) van Offensive Security
Sandbox
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk privacyvoorkeuren omzeilen
Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.
CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)
Opdrachten
Beschikbaar voor: macOS Monterey
Impact: een opdracht kan bij bepaalde acties gebruikmaken van gevoelige gegevens zonder dat de gebruiker om toestemming wordt gevraagd
Beschrijving: het probleem is verholpen door aanvullende machtigingscontroles.
CVE-2023-27963: Jubaer Alnazi Jabin van TRS Group Of Companies en Wenchao Li en Xiaolong Bai van Alibaba Group
System Settings
Beschikbaar voor: macOS Monterey
Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens
Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.
CVE-2023-23542: Adam M.
Bijgewerkt op 21 december 2023
System Settings
Beschikbaar voor: macOS Monterey
Impact: een app kan vertrouwelijke locatiegegevens lezen
Beschrijving: een bevoegdhedenprobleem is verholpen door verbeterde validatie.
CVE-2023-28192: Guilherme Rambo van Best Buddy Apps (rambo.codes)
Vim
Beschikbaar voor: macOS Monterey
Impact: meerdere problemen in Vim
Beschrijving: meerdere problemen zijn verholpen door bij te werken naar versie 9.0.1191 van Vim.
CVE-2023-0433
CVE-2023-0512
XPC
Beschikbaar voor: macOS Monterey
Impact: een app kan buiten zijn sandbox komen
Beschrijving: dit probleem is verholpen door middel van een nieuwe bevoegdheid.
CVE-2023-27944: Mickey Jin (@patch1t)
Aanvullende erkenning
Activeringsslot
Met dank aan Christian Mina voor de hulp.
AppleMobileFileIntegrity
Met dank aan Wojciech Reguła (@_r3ggi) van SecuRing (wojciechregula.blog) voor de hulp.
CoreServices
Met dank aan Mickey Jin (@patch1t) voor de hulp.
NSOpenPanel
Met dank aan Alexandre Colucci (@timacfr) voor de hulp.
Wi-Fi
Met dank aan een anonieme onderzoeker voor de hulp.
Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.