Over de beveiligingsinhoud van macOS Catalina 10.15

In dit document wordt de beveiligingsinhoud van macOS Catalina 10.15 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Catalina 10.15

Releasedatum: 7 oktober 2019

AMD

Beschikbaar voor: MacBook (begin 2015 en nieuwer), MacBook Air (medio 2012 en nieuwer), MacBook Pro (medio 2012 en nieuwer), Mac mini (eind 2012 en nieuwer), iMac (eind 2012 en nieuwer), iMac Pro (alle modellen), Mac Pro (eind 2013 en nieuwer)

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8748: Lilang Wu en Moony Li van het Trend Micro Mobile Security Research Team

apache_mod_php

Impact: meerdere problemen in PHP

Beschrijving: meerdere problemen zijn verholpen door bij te werken naar PHP-versie 7.3.8.

CVE-2019-11041

CVE-2019-11042

Audio

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8706: Yu Zhou van Ant-Financial Light-Year Security Lab

Toegevoegd op 29 oktober 2019

Audio

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan beperkt geheugen vrijgeven

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8850: anoniem in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 4 december 2019

Books

Impact: het parseren van een kwaadwillig vervaardigd iBooks-bestand leidt mogelijk tot een aanhoudende denial of service

Beschrijving: er is een bronuitputtingsprobleem aangepakt door verbeterde invoervalidatie.

CVE-2019-8774: Gertjan Franken van imec-DistriNet, KU Leuven

Toegevoegd op 29 oktober 2019

CFNetwork

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot een cross-site scripting-aanval

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2019-8753: Łukasz Pilorz van Standard Chartered GBS Poland

Toegevoegd op 29 oktober 2019

CoreAudio

Impact: het verwerken van een kwaadwillig vervaardigde film kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2019-8705: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

CoreAudio

Impact: het afspelen van een kwaadaardig audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 6 november 2019

CoreCrypto

Impact: het verwerken van omvangrijke invoer kan leiden tot een denial of service

Beschrijving: een probleem met denial of service is verholpen door een verbeterde invoervalidatie.

CVE-2019-8741: Nicky Mouha van NIST

Toegevoegd op 29 oktober 2019

CoreMedia

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8825: gevonden door GWP-ASan in Google Chrome

Toegevoegd op 29 oktober 2019

Crash Reporter

Impact: de instelling 'Deel Mac-analyse' wordt mogelijk niet uitgeschakeld als een gebruiker de schakelaar voor het delen van de analyse deselecteert

Beschrijving: er was sprake van een 'race condition' bij het lezen en schrijven van gebruikersvoorkeuren. Dit is verholpen door verbeterde statusverwerking.

CVE-2019-8757: William Cerniuk van Core Development, LLC

CUPS

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk vertrouwelijke gebruikersinformatie vrijgeven

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8736: Pawel Gocyla van ING Tech Poland (ingtechpoland.com)

Toegevoegd op 29 oktober 2019

CUPS

Impact: het verwerken van een kwaadwillig vervaardigde tekenreeks kan leiden tot heapbeschadiging

Beschrijving: een probleem met geheugengebruik is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8767: Stephen Zeisberg

Toegevoegd op 29 oktober 2019

CUPS

Impact: een aanvaller in een geprivilegieerde positie kan een denial of service-aanval uitvoeren

Beschrijving: een probleem met denial of service is verholpen door een verbeterde validatie.

CVE-2019-8737: Pawel Gocyla van ING Tech Poland (ingtechpoland.com)

Toegevoegd op 29 oktober 2019

dyld

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8776: Jann Horn van Google Project Zero

Toegevoegd op 3 februari 2020

File Quarantine

Impact: een kwaadaardig programma kan de bevoegdheden verhogen

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2019-8509: CodeColorist van Ant-Financial Light-Year Labs

Toegevoegd op 29 oktober 2019

Foundation

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8746: natashenka en Samuel Groß van Google Project Zero

Toegevoegd op 29 oktober 2019

Graphics

Impact: het verwerken van een kwaadaardige shader kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2018-12152: Piotr Bania van Cisco Talos

CVE-2018-12153: Piotr Bania van Cisco Talos

CVE-2018-12154: Piotr Bania van Cisco Talos

Toegevoegd op 29 oktober 2019

IOGraphics

Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2019-8759: another van het 360 Nirvan Team

Toegevoegd op 29 oktober 2019

Intel Graphics Driver

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8758: Lilang Wu en Moony Li van Trend Micro

IOGraphics

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8755: Lilang Wu en Moony Li van Trend Micro

Kernel

Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden

Beschrijving: dit probleem is verholpen door middel van verbeterde bevoegdheden.

CVE-2019-8703: een anonieme onderzoeker

Toegevoegd op 16 maart 2021

Kernel

Impact: een lokale app kan een permanente accountidentifier lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2019-8809: Apple

Toegevoegd op 29 oktober 2019

Kernel

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van IPv6-pakketten. Dit probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2019-8744: Zhuo Liang van het Qihoo 360 Vulcan Team

Toegevoegd op 29 oktober 2019

Kernel

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8717: Jann Horn van Google Project Zero

Kernel

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

CVE-2019-8781: Linus Henze (pinauten.de)

Bijgewerkt op 29 oktober 2019

libxml2

Impact: meerdere problemen in libxml2

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2019-8749: gevonden door OSS-Fuzz

CVE-2019-8756: gevonden door OSS-Fuzz

Toegevoegd op 29 oktober 2019

libxslt

Impact: meerdere problemen in libxslt

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2019-8750: gevonden door OSS-Fuzz

Toegevoegd op 29 oktober 2019

mDNSResponder

Impact: een aanvaller die fysiek in de buurt is, kan mogelijk apparaatnamen zien in AWDL-communicatie

Beschrijving: dit probleem is verholpen door de apparaatnamen te vervangen door een willekeurige identificatiecode.

CVE-2019-8799: David Kreitschmann en Milan Stute van het Secure Mobile Networking Lab van Technische Universität Darmstadt

Toegevoegd op 29 oktober 2019

Menus

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8826: gevonden door GWP-ASan in Google Chrome

Toegevoegd op 29 oktober 2019

Notes

Impact: een lokale gebruiker kan mogelijk de vergrendelde notities van een gebruiker zien

Beschrijving: de inhoud van vergrendelde notities verscheen soms in de zoekresultaten. Dit probleem is verholpen door een verbeterde opschoning van gegevens.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) van Virginia Polytechnic Institute and State University

PDFKit

Impact: een aanvaller kan mogelijk de inhoud achterhalen van een versleutelde pdf

Beschrijving: er was een probleem bij de verwerking van links in versleutelde pdf's. Dit probleem is verholpen door een bevestigingsprompt toe te voegen.

CVE-2019-8772: Jens Müller van de Ruhr-Universität Bochum, Fabian Ising van de Fachhochschule Münster, Vladislav Mladenov van de Ruhr-Universität Bochum, Christian Mainka van de Ruhr-Universität Bochum, Sebastian Schinzel van de Fachhochschule Münster en Jörg Schwenk van de Ruhr-Universität Bochum

PluginKit

Impact: een lokale gebruiker kan controleren of er willekeurige bestanden zijn

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8708: een anonieme onderzoeker

Toegevoegd op 29 oktober 2019

PluginKit

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8715: een anonieme onderzoeker

Toegevoegd op 29 oktober 2019

Sandbox

Impact: een kwaadaardig programma kan mogelijk toegang verkrijgen tot beperkte bestanden

Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.

CVE-2019-8855: Apple

Toegevoegd op 18 december 2019

SharedFileList

Impact: een kwaadaardig programma kan mogelijk toegang verkrijgen tot recente documenten

Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.

CVE-2019-8770: Stanislav Zinukhov van Parallels International GmbH

sips

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8701: Simon Huang(@HuangShaomang), Rong Fan(@fanrong1992) en pjf van IceSword Lab van Qihoo 360

UIFoundation

Impact: het parseren van een kwaadwillig vervaardigd tekstbestand kan leiden tot het vrijgeven van gebruikersgegevens

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2019-8761: Renee Trisberg van SpectX

Bijgewerkt op 10 augustus 2020, bijgewerkt op 21 juli 2021

UIFoundation

Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.

CVE-2019-8745: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

UIFoundation

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8831: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 18 november 2019

WebKit

Impact: een bezoek aan een kwaadwillig vervaardigde website kan browsergeschiedenis openbaar maken

Beschrijving: er was een probleem bij het afbeelden van webpagina-elementen. Het probleem is verholpen door een verbeterde logica.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Impact: een gebruiker kan onderdelen uit de browsergeschiedenis mogelijk niet verwijderen

Beschrijving: met 'Wis geschiedenis en websitedata' werd de geschiedenis niet gewist. Het probleem is verholpen door een verbeterde verwijdering van gegevens.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Wi-Fi

Impact: een apparaat kan passief worden gevolgd via het wifi-MAC-adres

Beschrijving: een probleem met de privacy van de gebruiker is verholpen door het verwijderen van het broadcast-MAC-adres.

CVE-2019-8854: het FuriousMacTeam van de United States Naval Academy en de Mitre Cooperation, Ta-Lun Yen van UCCU Hacker

Toegevoegd op 4 december 2019, bijgewerkt op 18 december 2019

Aanvullende erkenning

AppleRTC

Met dank aan Vitaly Cheptsov voor de hulp.

Toegevoegd op 29 oktober 2019

Audio

Met dank aan riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro voor hun hulp.

Toegevoegd op 29 oktober 2019

boringssl

Met dank aan Nimrod Aviram van Tel Aviv University, Robert Merget van Ruhr-Universität Bochum, Juraj Somorovsky van Ruhr-Universität Bochum en Thijs Alkemade (@xnyhps) van Computest voor de hulp.

Toegevoegd op 8 oktober 2019, bijgewerkt op 29 oktober 2019

curl

Met dank aan Joseph Barisa van The School District of Philadelphia voor zijn hulp.

Toegevoegd op 3 februari 2020, bijgewerkt op 11 februari 2020

Finder

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Gatekeeper

Met dank aan Csaba Fitzl (@theevilbit) voor zijn hulp.

Identity Service

Met dank aan Yiğit Can YILMAZ (@yilmazcanyigit) voor zijn hulp.

Toegevoegd op 29 oktober 2019

Kernel

Met dank aan Brandon Azad van Google Project Zero en Vlad Tsyrklevich voor hun hulp.

Bijgewerkt op 28 juli 2020

Local Authentication

Met dank aan Ryan Lopopolo voor de hulp.

Toegevoegd op 3 februari 2020

mDNSResponder

Met dank aan Gregor Lang van e.solutions GmbH voor de hulp.

Toegevoegd op 29 oktober 2019

python

Met dank aan een anonieme onderzoeker voor de hulp.

Toegevoegd op 29 oktober 2019

Safari Data Importing

Met dank aan Kent Zoya voor de hulp.

Security

Met dank aan Pepijn Dutour Geerling (pepijn.io) en een anonieme onderzoeker voor de hulp.

Toegevoegd op 18 november 2019

Simple certificate enrollment protocol (SCEP)

Met dank aan een anonieme onderzoeker voor de hulp.

Siri

Met dank aan Yuval Ron, Amichai Shulman en Eli Biham van Technion van het Israel Institute of Technology voor hun hulp.

Toegevoegd op 4 december 2019, bijgewerkt op 18 december 2019

Telephony

Met dank aan Phil Stokes van SentinelOne voor zijn hulp.

VPN

Met dank aan Royce Gawron van Second Son Consulting, Inc. voor de hulp.

Toegevoegd op 29 oktober 2019

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: 30 juli 2021