Over de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra

In dit document wordt de beveiligingsinhoud van macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Mojave 10.14.5, Beveiligingsupdate 2019-003 High Sierra, Beveiligingsupdate 2019-003 Sierra

Framework voor toegankelijkheid

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8603: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro

AMD

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8635: Lilang Wu en Moony Li van het TrendMicro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro

Appfirewall

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8590: het National Cyber Security Centre (NCSC) in het Verenigd Koninkrijk

Archiveringshulpprogramma

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-8640: Ash Fox van Fitbit Product Security

Bluetooth

Beschikbaar voor: macOS Mojave 10.14.4

Impact: vanwege een fout in de configuratie van de Bluetooth koppelprotocollen van een BLE-versie (Bluetooth Low Energy) van FIDO-beveiligingssleutels kan een aanvaller die fysiek in de buurt is, mogelijk Bluetooth-verkeer onderscheppen tijdens het koppelen

Beschrijving: dit probleem is verholpen door accessoires met een onveilige Bluetooth-verbinding uit te schakelen. Klanten die de BLE-versie (Bluetooth Low Energy) van de Titan-beveiligingssleutel van Google gebruiken, moeten de Android-beveiligingsbulletins van juni en Google's advies daarin raadplegen en de gepaste maatregelen nemen.

CVE-2019-2102: Matt Beaver en Erik Peterson van Microsoft Corp.

CoreAudio

Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van fouten.

CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

CoreAudio

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van een kwaadwillig vervaardigd filmbestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8585: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

CoreText

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2019-8582: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

DesktopServices

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadaardig programma kan Gatekeeper-controles omzeilen

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2019-8589: Andreas Clementi, Stefan Haselwanter en Peter Stelzhammer van AV-Comparatives

Schijfkopieën

Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8560: Nikita Pupyshev van Bauman Moscow State Technological University

EFI

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een gebruiker kan onverwacht worden ingelogd bij de account van een andere gebruiker

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2019-8634: Jenny Sprenger en Maik Hoepfel

Intel Graphics Driver

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8616: Lilang Wu en Moony Li van het Trend Micro Mobile Security Research Team in samenwerking met het Zero Day Initiative van Trend Micro

Intel Graphics Driver

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8629: Arash Tohidi van Solita Oy

IOAcceleratorFamily

Beschikbaar voor: macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2018-4456: Tyler Bohan van Cisco Talos

IOKit

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een lokale gebruiker kan niet-ondertekende kernelextensies laden

Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2019-8606: Phoenhex en qwerty (@_niklasb, @qwertyoruiopz, @bkth_) in samenwerking met het Zero Day Initiative van Trend Micro

Kernel

Beschikbaar voor: macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8633: Zhuo Liang van het Qihoo 360 Vulcan Team

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8525: Zhuo Liang en shrek_wzw van het Qihoo 360 Nirvan Team

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een externe aanvaller kan geheugen vrijgeven

Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2019-8547: derrek (@derrekr6)

Kernel

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2019-8576: Brandon Azad van Google Project Zero, Junho Jang en Hanul Choi van LINE Security Team

Kernel

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen

Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8591: Ned Williamson in samenwerking met Google Project Zero

Berichten

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een externe aanvaller kan mogelijk zorgen voor een system denial of service

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8573: natashenka van Google Project Zero

Berichten

Beschikbaar voor: macOS Mojave 10.14.4

Impact: gebruikers die zijn verwijderd van een iMessage-gesprek, zouden de status nog steeds kunnen wijzigen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2019-8631: Jamie Bishop van Dynastic

Microcode

Beschikbaar voor: macOS Mojave 10.14.4

Impact: laadpoorten, fill buffers en opslagbuffers in systemen met microprocessors die gebruikmaken van 'speculative execution', kunnen een aanvaller met gebruikerstoegang de mogelijkheid geven informatie openbaar te maken via een zijkanaal

Beschrijving: meerdere problemen met openbaarmaking van informatie zijn deels verholpen door de microcode bij te werken en de OS-scheduler te wijzigen om het systeem te isoleren van webcontent uit de browser. Om dit probleem volledig te verhelpen, zijn er aanvullende opt-in-maatregelen om hyper-threading uit te schakelen en maatregelen gebaseerd op microcode voor alle processen standaard in te schakelen. Meer informatie over de maatregelen kunnen gevonden worden op https://support.apple.com/nl-nl/HT210107.

CVE-2018-12126: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Lei Shi - Qihoo 360 CERT; Marina Minkin; Daniel Genkin van de University of Michigan en Yuval Yarom van de University of Adelaide

CVE-2018-12127: Brandon Falk van het Microsoft Windows Platform Security Team en Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel

CVE-2018-12130: Giorgi Maisuradze van Microsoft Research; Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel; Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology; Stephan van Schaik, Alyssa Milburn, Sebastian Osterlund, Pietro Frigo, Kaveh Razavi, Herbert Bos en Cristiano Giuffrida van de VUSec group van VU Amsterdam; Volodymyr Pikhur en Dan Horea Lutas van BitDefender

CVE-2019-11091: Ke Sun, Henrique Kawakami, Kekai Hu en Rodrigo Branco van Intel en Moritz Lipp, Michael Schwarz en Daniel Gruss van de Graz University of Technology

Beveiliging

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.4

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8604: Fluoroacetate in samenwerking met het Zero Day Initiative van Trend Micro

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden

Beschrijving: een probleem met invoervalidatie is verholpen door een verbeterde geheugenverwerking.

CVE-2019-8577: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadwillig vervaardigde SQL-zoekactie kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2019-8600: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadaardig programma kan beperkt geheugen lezen

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8598: Omer Gull van Checkpoint Research

SQLite

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een kwaadaardig programma kan de bevoegdheden verhogen

Beschrijving: een probleem met geheugenbeschadiging is opgelost door de kwetsbare code te verwijderen.

CVE-2019-8602: Omer Gull van Checkpoint Research

StreamingZip

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een lokale gebruiker kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Beschikbaar voor: macOS Sierra 10.12.6, macOS Mojave 10.14.4, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.

CVE-2019-8574: Dayton Pidhirney (@_watbulb) van Seekintoo (@seekintoo)

Ondersteuning voor Touch Bar

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8569: Viktor Oreshkin (@stek29)

WebKit

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-6237: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro, Liu Long van het Qihoo 360 Vulcan Team

CVE-2019-8571: 01 in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8583: sakura van het Xuanwu Lab van Tencent, jessica (@babyjess1ca_) van het Keen Lab van Tencent en dwfault werkzaam bij het ADLab van Venustech

CVE-2019-8584: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8586: een anonieme onderzoeker

CVE-2019-8587: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8594: Suyoung Lee en Sooel Son van het KAIST Web Security & Privacy Lab en HyungSeok Han en Sang Kil Cha van het KAIST SoftSec Lab

CVE-2019-8595: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8596: Wen Xu van het SSLab van Georgia Tech

CVE-2019-8597: 01 in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8601: Fluoroacetate in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8608: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8609: Wen Xu van het SSLab, Georgia Tech

CVE-2019-8610: Anoniem in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8611: Samuel Groß van Google Project Zero

CVE-2019-8615: G. Geshev van MWR Labs in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8619: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab

CVE-2019-8622: Samuel Groß van Google Project Zero

CVE-2019-8623: Samuel Groß van Google Project Zero

CVE-2019-8628: Wen Xu van het SSLab van Georgia Tech en Hanqing Zhao van het Chaitin Security Research Lab

WebKit

Beschikbaar voor: macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8607: Junho Jang en Hanul Choi van het LINE Security Team

Wifi

Beschikbaar voor: macOS Mojave 10.14.4

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan de status van een besturingsbestand wijzigen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2019-8612: Milan Stute van het Secure Mobile Networking Lab van Technische Universität Darmstadt

Aanvullende erkenning

CoreAudio

Met dank aan riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro voor hun hulp.

CoreFoundation

Met dank aan m4bln, Xiangqian Zhang en Huiming Liu van het Xuanwu Lab van Tencent en Vozzie en Rami voor hun hulp.

Kernel

Met dank aan Denis Kopyrin voor zijn hulp.

PackageKit

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Safari

Met dank aan Michael Ball van Gradescope by Turnitin voor zijn hulp.

Systeemvoorkeuren

Met dank aan een anonieme onderzoeker voor de hulp.