Over de beveiligingsinhoud van macOS Sonoma 14.1

In dit document wordt de beveiligingsinhoud van macOS Sonoma 14.1 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Sonoma 14.1

Releasedatum: 25 oktober 2023

App Support

Beschikbaar voor: macOS Sonoma

Impact: het parseren van een bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2023-30774

AppSandbox

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2023-40444: Noah Roskin-Frazee en Prof. J. (ZeroClicks.ai Lab)

Automation

Beschikbaar voor: macOS Sonoma

Impact: een app met rootbevoegdheden kan mogelijk toegang verkrijgen tot privégegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42952: Zhipeng Huo (@R3dF09) van Tencent Security Xuanwu Lab (xlab.tencent.com)

Toegevoegd op 16 februari 2024

Bluetooth

Beschikbaar voor: macOS Sonoma

Impact: een app kan ongeoorloofde toegang verkrijgen tot Bluetooth

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2023-42945

Toegevoegd op 16 februari 2024

Contacts

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-41072: Wojciech Regula van SecuRing (wojciechregula.blog) en Csaba Fitzl (@theevilbit) van Offensive Security

CVE-2023-42857: Noah Roskin-Frazee en Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Beschikbaar voor: macOS Sonoma

Impact: een app kan een denial-of-service veroorzaken

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-40449: Tomi Tokics (@tomitokics) van iTomsn0w

Core Recents

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door de logboekregistratie op te schonen

CVE-2023-42823

Toegevoegd op 16 februari 2024

Emoji

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller kan een willekeurige code uitvoeren als root vanaf het vergrendelscherm

Het probleem is verholpen door de aangeboden opties op een vergrendeld apparaat te beperken.

CVE-2023-41989: Jewel Lambert

FileProvider

Beschikbaar voor: macOS Sonoma

Impact: een app kan een denial-of-service veroorzaken voor eindpuntbeveiligingsclients

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2023-42854: Noah Roskin-Frazee en Prof. J. (ZeroClicks.ai Lab)

Find My

Beschikbaar voor: macOS Sonoma

Impact: een app kan vertrouwelijke locatiegegevens lezen

Beschrijving: het probleem is verholpen door verbeterde verwerking van caches.

CVE-2023-40413: Adam M.

Find My

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door verbeterde verwerking van bestanden.

CVE-2023-42834: Csaba Fitzl (@theevilbit) van Offensive Security

Toegevoegd op 16 februari 2024

Foundation

Beschikbaar voor: macOS Sonoma

Impact: een website kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens tijdens het afhandelen van symlinks

Beschrijving: dit probleem is verholpen door verbeterde verwerking van symlinks.

CVE-2023-42844: Ron Masas van BreakPoint.SH

Game Center

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2023-42953: Michael (Biscuit) Thomas - @biscuit@social.lol

Toegevoegd op 16 februari 2024

ImageIO

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van een afbeelding kan leiden tot openbaarmaking van procesgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-40416: JZ

ImageIO

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot heapbeschadiging

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2023-42848: JZ

Toegevoegd op 16 februari 2024

IOTextEncryptionFamily

Beschikbaar voor: macOS Sonoma

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-40423: een anonieme onderzoeker

iperf3

Beschikbaar voor: macOS Sonoma

Impact: een externe gebruiker kan het onverwacht beëindigen van apps of het uitvoeren van willekeurige code veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-38403

Kernel

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller die het uitvoeren van kernelcode al heeft bereikt, kan kernelgeheugenbeperkingen omzeilen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-42849: Linus Henze van Pinauten GmbH (pinauten.de)

LaunchServices

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde logica voor bevoegdheden.

CVE-2023-42850: Thijs Alkemade (@xnyhps) van Computest Sector 7, Zhongquan Li (@Guluisacat) en Bohdan Stasiuk (@Bohdan_Stasiuk)

Bijgewerkt op woensdag 29 mei 2024

libc

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van kwaadwillig vervaardigde invoer kan leiden tot het uitvoeren van willekeurige code in door de gebruiker geïnstalleerde apps

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-40446: inooo

Toegevoegd op 3 november 2023

libxpc

Beschikbaar voor: macOS Sonoma

Impact: een kwaadaardige app kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: dit probleem is verholpen door verbeterde verwerking van symlinks.

CVE-2023-42942: Mickey Jin (@patch1t)

Toegevoegd op 16 februari 2024

Login Window

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller met kennis over de inloggegevens van een standaardgebruiker, kan het vergrendelde scherm van een andere standaardgebruiker ontgrendelen op dezelfde Mac

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2023-42861: Jon Crain, 凯 王, Brandon Chesser & CPU IT, inc, Matthew McLean, Steven Maser en het Avalon IT-team van Concentrix

Bijgewerkt op woensdag 29 mei 2024

LoginWindow

Beschikbaar voor: macOS Sonoma

Impact: een lokale aanvaller kan het bureaublad van de vorige ingelogde gebruiker bekijken via het scherm voor snelle gebruikersoverschakeling

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2023-42935: ASentientBot

Toegevoegd op 22 januari 2024, bijgewerkt op 24 april 2024

Mail Drafts

Beschikbaar voor: macOS Sonoma

Impact: 'Verberg mijn e-mailadres' wordt mogelijk onverwacht uitgeschakeld

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen door verbeterd statusbeheer.

CVE-2023-40408: Grzegorz Riegel

Maps

Beschikbaar voor: macOS Sonoma

Impact: een app kan vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-40405: Csaba Fitzl (@theevilbit) van Offensive Security

MediaRemote

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2023-28826: Meng Zhang (鲸落) van NorthSea

Toegevoegd op 7 maart 2024

Model I/O

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van een bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-42856: Michael DePlante (@izobashi) van Trend Micro Zero Day Initiative

Networking

Beschikbaar voor: macOS Sonoma

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2023-40404: Certik Skyfall Team

PackageKit

Beschikbaar voor: macOS Sonoma

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42859: Arsenii Kostromin (0x3c3e), Mickey Jin (@patch1t), en Hevel Engineering

CVE-2023-42877: Arsenii Kostromin (0x3c3e)

Toegevoegd op 16 februari 2024

PackageKit

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42840: Mickey Jin (@patch1t), en Csaba Fitzl (@theevilbit) van Offensive Security

Toegevoegd op 16 februari 2024

PackageKit

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-42853: Mickey Jin (@patch1t)

Toegevoegd op 16 februari 2024

PackageKit

Beschikbaar voor: macOS Sonoma

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2023-42860: Koh M. Nakagawa (@tsunek0h) van FFRI Security, Inc.

Toegevoegd op 16 februari 2024

PackageKit

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk bepaalde privacyvoorkeuren omzeilen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42889: Mickey Jin (@patch1t)

Toegevoegd op 16 februari 2024

Passkeys

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller heeft mogelijk zonder validatie toegang tot passkeys

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-42847: een anonieme onderzoeker

Photos

Beschikbaar voor: macOS Sonoma

Impact: foto's in het album 'Verborgen' kunnen mogelijk zonder validatie worden bekeken

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2023-42845: Bistrit Dahal

Bijgewerkt op 16 februari 2024

Pro Res

Beschikbaar voor: macOS Sonoma

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu en Guang Gong van 360 Vulnerability Research Institute

Pro Res

Beschikbaar voor: macOS Sonoma

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2023-42873: Mingxuan Yang (@PPPF00L), en happybabywu en Guang Gong van 360 Vulnerability Research Institute

Toegevoegd op 16 februari 2024

quarantine

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk willekeurige code uitvoeren buiten de sandbox of met bepaalde verhoogde bevoegdheden

Beschrijving: een toegangsprobleem is verholpen door verbeteringen aan de sandbox.

CVE-2023-42838: Yiğit Can YILMAZ (@yilmazcanyigit), Csaba Fitzl (@theevilbit) van Offensive Security

Toegevoegd op 16 februari 2024

RemoteViewServices

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller kan mogelijk toegang krijgen tot gebruikersgegevens

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-42835: Mickey Jin (@patch1t)

Toegevoegd op 16 februari 2024

Safari

Beschikbaar voor: macOS Sonoma

Impact: een bezoek aan een schadelijke website kan browsergeschiedenis openbaar maken

Beschrijving: het probleem is verholpen door verbeterde verwerking van caches.

CVE-2023-41977: Alex Renda

Safari

Beschikbaar voor: macOS Sonoma

Impact: een bezoek aan een schadelijke website kan leiden tot vervalsing van de gebruikersinterface

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen door verbeterd statusbeheer.

CVE-2023-42438: Rafay Baloch & Muhammad Samaak, en een anonieme onderzoeker

Sandbox

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller kan mogelijk toegang krijgen tot verbonden netwerkvolumes die zijn geactiveerd in de thuismap

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Toegevoegd op 16 februari 2024

Sandbox

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Toegevoegd op 16 februari 2024

Share Sheet

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula van SecuRing (wojciechregula.blog), en Cristian Dinca van "Tudor Vianu" National High School of Computer Science, Roemenië

Toegevoegd op 16 februari 2024

Siri

Beschikbaar voor: macOS Sonoma

Impact: een aanvaller met fysieke toegang kan mogelijk Siri gebruiken om toegang te krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door de aangeboden opties op een vergrendeld apparaat te beperken.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Bijgewerkt op 16 februari 2024

Siri

Beschikbaar voor: macOS Sonoma

Impact: een app kan vertrouwelijke gebruikersinformatie vrijgeven

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2023-42946

Toegevoegd op 16 februari 2024

SQLite

Beschikbaar voor: macOS Sonoma

Impact: een externe gebruiker kan een denial-of-service veroorzaken

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2023-36191

Toegevoegd op 16 februari 2024

talagent

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2023-40421: Noah Roskin-Frazee en Prof. J. (ZeroClicks.ai Lab)

Terminal

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42842: een anonieme onderzoeker

Vim

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van schadelijke invoer kan leiden tot het uitvoeren van code

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2023-4733

CVE-2023-4734

CVE-2023-4735

CVE-2023-4736

CVE-2023-4738

CVE-2023-4750

CVE-2023-4751

CVE-2023-4752

CVE-2023-4781

Weather

Beschikbaar voor: macOS Sonoma

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-41254: Cristian Dinca van 'Tudor Vianu' National High School of Computer Science, Roemenië

WebKit

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 259836

CVE-2023-40447: 이준성 (Junsung Lee) van Cross Republic

WebKit

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

WebKit Bugzilla: 259890

CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

WebKit Bugzilla: 260173

CVE-2023-42852: Pedro Ribeiro (@pedrib1337) en Vitor Pedreira (@0xvhp_) van Agile Information Security

Bijgewerkt op 16 februari 2024

WebKit

Beschikbaar voor: macOS Sonoma

Impact: het bezoeken van een kwaadaardige website kan leiden tot adresbalkvervalsing

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen door verbeterd statusbeheer.

WebKit Bugzilla: 260046

CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Toegevoegd op 16 februari 2024

WebKit Process Model

Beschikbaar voor: macOS Sonoma

Impact: het verwerken van webmateriaal kan leiden tot een denial-of-service

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 260757

CVE-2023-41983: 이준성(Junsung Lee)

WindowServer

Beschikbaar voor: macOS Sonoma

Impact: een website heeft mogelijk toegang tot de microfoon zonder dat de indicator voor microfoongebruik wordt getoond

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2023-41975: een anonieme onderzoeker

WindowServer

Beschikbaar voor: macOS Sonoma

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-42858: een anonieme onderzoeker

Toegevoegd op 16 februari 2024

Aanvullende erkenning

libarchive

Met dank aan Bahaa Naamneh voor de hulp.

libxml2

Met dank aan OSS-Fuzz, en Ned Williamson van Google Project Zero voor de hulp.

Login Window

Met dank aan een anonieme onderzoeker voor de hulp.

man

Met dank aan Kirin (@Pwnrin) en Roman Mishchenko voor de hulp.

Bijgewerkt op 16 februari 2024

Power Manager

Met dank aan Xia0o0o0o (@Nyaaaaa_ovo) van University of California, San Diego voor de hulp.

Preview

Met dank aan Akshay Nagpal voor de hulp.

Toegevoegd op 16 februari 2024

Reminders

Met dank Noah Roskin-Frazee en professor J. (ZeroClicks.ai Lab) voor de hulp.

Setup Assistant

Met dank aan Digvijay Sai Gujjarlapudi, Kyle Andrews en een anonieme onderzoeker voor de hulp.

Toegevoegd op 24 april 2024, bijgewerkt op 29 mei 2024

System Extensions

Met dank aan Jaron Bradley, Ferdous Saljooki en Austin Prueher van Jamf Software voor de hulp.

Toegevoegd op 24 april 2024

WebKit

Met dank aan een anonieme onderzoeker voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: