Over de beveiligingsinhoud van macOS Catalina 10.15

In dit document wordt de beveiligingsinhoud van macOS Catalina 10.15 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Catalina 10.15

Releasedatum 7 oktober 2019

AMD

Beschikbaar voor: MacBook (begin 2015 en later), MacBook Air (medio 2012 en later), MacBook Pro (medio 2012 en later), Mac mini (eind 2012 en later), iMac (eind 2012 en later), iMac Pro (alle modellen), Mac Pro (eind 2013 en later)

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8748: Lilang Wu en Moony Li van het TrendMicro Mobile Security Team

apache_mod_php

Impact: meerdere problemen in PHP

Beschrijving: meerdere problemen zijn verholpen door bij te werken naar PHP-versie 7.3.8.

CVE-2019-11041

CVE-2019-11042

CoreAudio

Impact: het verwerken van een kwaadwillig vervaardigd filmbestand kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2019-8705: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Crashrapportage

Impact: De instelling 'Deel Mac-analyse' kan niet worden uitgeschakeld als een gebruiker de schakelaar voor het delen van de analyse deselecteert

Beschrijving: Er was sprake van een racevoorwaarde bij het lezen en schrijven van gebruikersvoorkeuren. Dit is verholpen door verbeterde statusverwerking.

CVE-2019-8757: William Cerniuk van Core Development, LLC

Intel Graphics Driver

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8758: Lilang Wu en Moony Li van Trend Micro

IOGraphics

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8755: Lilang Wu en Moony Li van Trend Micro

Kernel

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8717: Jann Horn van Google Project Zero

Kernel

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8781: Linus Henze (pinauten.de)

Notities

Impact: een lokale gebruiker kan mogelijk de vergrendelde notities van een gebruiker zien

Beschrijving: de inhoud van vergrendelde notities verscheen soms in de zoekresultaten. Dit probleem is verholpen door een verbeterde opschoning van data.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) van de Virginia Polytechnic Institute and State University

PDFKit

Impact: een aanvaller kan mogelijk de inhoud achterhalen van een gecodeerde pdf

Beschrijving: er was een probleem bij de verwerking van links in gecodeerde pdf's. Dit probleem is verholpen door een bevestigingsprompt toe te voegen.

CVE-2019-8772: Jens Müller van de Ruhr-Universität Bochum, Fabian Ising van de Fachhochschule Münster, Vladislav Mladenov van de Ruhr-Universität Bochum, Christian Mainka van de Ruhr-Universität Bochum, Sebastian Schinzel van de Fachhochschule Münster en Jörg Schwenk van de Ruhr-Universität Bochum

SharedFileList

Impact: een kwaadaardig programma kan mogelijk toegang verkrijgen tot recente documenten

Beschrijving: het probleem is verholpen door een verbeterde bevoegdhedenlogica.

CVE-2019-8770: Stanislav Zinukhov van Parallels International GmbH

sips

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8701: Simon Huang(@HuangShaomang), Rong Fan(@fanrong1992) en pjf van IceSword Lab van Qihoo 360

UIFoundation

Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.

CVE-2019-8745: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

WebKit

Impact: een bezoek aan een kwaadwillig vervaardigde website kan browsergeschiedenis openbaar maken

Beschrijving: er was een probleem bij het afbeelden van webpagina-elementen. Het probleem is verholpen door een verbeterde logica.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Impact: een gebruiker kan onderdelen uit de browsergeschiedenis mogelijk niet verwijderen

Beschrijving: met 'Wis geschiedenis en websitedata' werd de geschiedenis niet gewist. Het probleem is verholpen door een verbeterde verwijdering van gegevens.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Aanvullende erkenning

Finder

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Gatekeeper

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Importeren van Safari Data

Met dank aan Kent Zoya voor de hulp.

SCEP (Simple Certificate Enrollment Protocol)

Met dank aan een anonieme onderzoeker voor de hulp.

Telefonie

Met dank aan Phil Stokes van SentinelOne voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: oktober 11, 2019