Over de beveiligingsinhoud van macOS Catalina 10.15.1, Beveiligingsupdate 2019-001 en Beveiligingsupdate 2019-006

In dit document wordt de beveiligingsinhoud beschreven van macOS Catalina 10.15.1, Beveiligingsupdate 2019-001 en Beveiligingsupdate 2019-006.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Catalina 10.15.1, Beveiligingsupdate 2019-001, Beveiligingsupdate 2019-006

Releasedatum: 29 oktober 2019

Accounts

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een externe aanvaller kan geheugen vrijgeven

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8787: Steffen Klee van het Secure Mobile Networking Lab van Technische Universität Darmstadt

Bijgewerkt op 11 februari 2020

AMD

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8748: Lilang Wu en Moony Li van het Trend Micro Mobile Security Research Team

Toegevoegd op 11 februari 2020

apache_mod_php

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: meerdere problemen in PHP

Beschrijving: meerdere problemen zijn verholpen door bij te werken naar PHP-versie 7.3.8.

CVE-2019-11041

CVE-2019-11042

Toegevoegd op 11 februari 2020

APFS

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8824: Mac in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 11 februari 2020

App Store

Beschikbaar voor: macOS Catalina 10.15

Impact: een lokale aanvaller kan mogelijk zonder geldige inloggegevens inloggen bij de account van een eerder ingelogde gebruiker

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

AppleGraphicsControl

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8817: Arash Tohidi

AppleGraphicsControl

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8716: Zhiyi Zhang van het Codesafe Team van Legendsec bij de Qi'anxin Group, Zhuo Liang van het Qihoo 360 Vulcan Team

Gerelateerde domeinen

Beschikbaar voor: macOS Catalina 10.15

Impact: het onjuist verwerken van URL's kan leiden tot de exfiltratie van gegevens

Beschrijving: er was een probleem met het parseren van URL's. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2019-8788: Juha Lindstedt van Pakastin, Mirko Tanania en Rauli Rikama van Zero Keyboard Ltd

Audio

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8706: Yu Zhou van het Ant-Financial Light-Year Security Lab

Audio

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8785: Ian Beer van Google Project Zero

CVE-2019-8797: 08Tc3wBB in samenwerking met SSD Secure Disclosure

Bijgewerkt op 11 februari 2020

Audio

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan beperkt geheugen vrijgeven

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8850: anoniem in samenwerking met het Zero Day Initiative van Trend Micro

Bijgewerkt op 18 december 2019

Boeken

Beschikbaar voor: macOS Catalina 10.15

Impact: het parseren van een kwaadwillig vervaardigd iBooks-bestand kan leiden tot het vrijgeven van gebruikersgegevens

Beschrijving: er was een validatieprobleem bij de verwerking van symlinks. Dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2019-8789: Gertjan Franken van imec-DistriNet, KU Leuven

Contacten

Beschikbaar voor: macOS Catalina 10.15

Impact: het verwerken van een kwaadwillig vervaardigd contact kan leiden tot UI-spoofing

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen met verbeterd statusbeheer.

CVE-2017-7152: Oliver Paukstadt van Thinking Objects GmbH (to.com)

CoreAudio

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: het afspelen van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2019-8592: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 6 november 2019

CoreAudio

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: het verwerken van een kwaadwillig vervaardigde film kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2019-8705: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 11 februari 2020

CoreMedia

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8825: gevonden door GWP-ASan in Google Chrome

Toegevoegd op 11 februari 2020

CUPS

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk vertrouwelijke gebruikersgegevens vrijgeven

Beschrijving: een probleem met de invoervalidatie is verholpen door een verbeterde invoervalidatie.

CVE-2019-8736: Pawel Gocyla van ING Tech Poland (ingtechpoland.com)

CUPS

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: het verwerken van een kwaadwillig vervaardigde tekenreeks kan leiden tot heapbeschadiging

Beschrijving: een probleem met geheugengebruik is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8767: Stephen Zeisberg

CUPS

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een aanvaller in een geprivilegieerde positie kan een denial of service-aanval uitvoeren

Beschrijving: een probleem met denial of service is verholpen door een verbeterde validatie.

CVE-2019-8737: Pawel Gocyla van ING Tech Poland (ingtechpoland.com)

Bestandsquarantaine

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een kwaadaardig programma kan de bevoegdheden verhogen

Beschrijving: dit probleem is verholpen door de kwetsbare code te verwijderen.

CVE-2019-8509: CodeColorist van Ant-Financial Light-Year Labs

Bestandssysteemgebeurtenissen

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8798: ABC Research s.r.o. in samenwerking met het Zero Day Initiative van Trend Micro

Foundation

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2019-8746: Natalie Silvanovich en Samuel Groß van Google Project Zero

Toegevoegd op 11 februari 2020

Graphics

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: het verwerken van een schadelijke shader kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2018-12152: Piotr Bania van Cisco Talos

CVE-2018-12153: Piotr Bania van Cisco Talos

CVE-2018-12154: Piotr Bania van Cisco Talos

Besturingsbestand voor graphics

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8784: Vasiliy Vasilyev en Ilya Finogeev van Webinar, LLC

Intel Graphics Driver

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8807: Yu Wang van Didi Research America

IOGraphics

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een lokale gebruiker kan zorgen voor het onverwacht beëindigen van het systeem of het lezen van kernelgeheugen

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde controle van de grenzen.

CVE-2019-8759: another van het 360 Nirvan Team

iTunes

Beschikbaar voor: macOS Catalina 10.15

Impact: het uitvoeren van het iTunes-installatieprogramma in een niet-vertrouwde directory kan leiden tot het uitvoeren van willekeurige code

Beschrijving: er was sprake van een probleem met het laden van een dynamische bibliotheek in het iTunes-configuratiebestand. Dit probleem is verholpen doordat het zoeken naar het pad is verbeterd.

CVE-2019-8801: Hou JingYi (@hjy79425575) van Qihoo 360 CERT

Kernel

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

Toegevoegd op 11 februari 2020

Kernel

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan beperkt geheugen lezen

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2019-8794: 08Tc3wBB in samenwerking met SSD Secure Disclosure

Kernel

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8717: Jann Horn van Google Project Zero

CVE-2019-8786: Wen Xu van Georgia Tech, Microsoft Offensive Security Research Intern

Bijgewerkt op 18 november 2019, bijgewerkt op 11 februari 2020

Kernel

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: er was een probleem met geheugenbeschadiging bij de verwerking van IPv6-pakketten. Dit probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2019-8744: Zhuo Liang van het Qihoo 360 Vulcan Team

Kernel

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een kwetsbaarheid voor geheugenbeschadiging is verholpen door verbeterde vergrendeling.

CVE-2019-8829: Jann Horn van Google Project Zero

Toegevoegd op 6 november 2019

libxml2

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: meerdere problemen in libxml2

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2019-8749: gevonden door OSS-Fuzz

CVE-2019-8756: gevonden door OSS-Fuzz

libxslt

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: meerdere problemen in libxslt

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2019-8750: gevonden door OSS-Fuzz

manpages

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Catalina 10.15

Impact: een kwaadaardig programma kan rootbevoegdheden verkrijgen

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2019-8802: Csaba Fitzl (@theevilbit)

PDFKit

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: een aanvaller kan mogelijk de inhoud achterhalen van een gecodeerde pdf

Beschrijving: er was een probleem bij de verwerking van koppelingen in gecodeerde pdf's. Dit probleem is verholpen door een bevestigingsprompt toe te voegen.

CVE-2019-8772: Jens Müller van de Ruhr-Universität Bochum, Fabian Ising van de Fachhochschule Münster, Vladislav Mladenov van de Ruhr-Universität Bochum, Christian Mainka van de Ruhr-Universität Bochum, Sebastian Schinzel van de Fachhochschule Münster en Jörg Schwenk van de Ruhr-Universität Bochum

Toegevoegd op 11 februari 2020

PluginKit

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een lokale gebruiker kan controleren of er willekeurige bestanden zijn

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2019-8708: een anonieme onderzoeker

PluginKit

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8715: een anonieme onderzoeker

Schermdelingsserver

Beschikbaar voor: macOS Catalina 10.15

Impact: een gebruiker die zijn scherm deelt, kan het delen van het scherm mogelijk niet beëindigen

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2019-8858: Saul van der Bijl van Saul's Place Counseling B.V.

Toegevoegd op 18 december 2019

Systeemextensies

Beschikbaar voor: macOS Catalina 10.15

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: er was een probleem met de validatie in de verificatie van toegangsrechten. Dit probleem is verholpen met verbeterde validatie van de toegangsrechten van processen.

CVE-2019-8805: Scott Knight (@sdotknight) van VMware Carbon Black TAU

UIFoundation

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: het verwerken van een kwaadwillig vervaardigd tekstbestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een bufferoverloop is verholpen door een verbeterde bereikcontrole.

CVE-2019-8745: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 11 februari 2020

UIFoundation

Beschikbaar voor: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8831: riusksk van VulWar Corp in samenwerking met het Zero Day Initiative van Trend Micro

Toegevoegd op 11 februari 2020

UIFoundation

Beschikbaar voor: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

Impact: het parseren van een kwaadwillig vervaardigd tekstbestand kan leiden tot het vrijgeven van gebruikersgegevens

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2019-8761: Renee Trisberg van SpectX

Wifi

Beschikbaar voor: macOS Catalina 10.15

Impact: een aanvaller binnen wifibereik kan mogelijk een kleine hoeveelheid netwerkverkeer bekijken

Beschrijving: er was een logisch probleem bij de verwerking van statusovergangen. Dit is verholpen door verbeterd statusbeheer.

CVE-2019-15126: Milos Cermak van ESET

Toegevoegd op 11 februari 2020

Aanvullende erkenning

CFNetwork

Met dank aan Lily Chen van Google voor haar hulp.

Kernel

Met dank aan Brandon Azad van Google Project Zero, Daniel Roethlisberger van Swisscom CSIRT, Jann Horn van Google Project Zero voor hun hulp.

Bijgewerkt op 6 november 2019

libresolv

Met dank aan enh van Google voor de hulp.

Lokale identiteitscontrole

Met dank aan Ryan Lopopolo voor de hulp.

Toegevoegd op 11 februari 2020

mDNSResponder

Met dank aan Gregor Lang van e.solutions GmbH voor de hulp.

Toegevoegd op 11 februari 2020

Postfix

Met dank aan Chris Barker van Puppet voor de hulp.

python

Met dank aan een anonieme onderzoeker voor de hulp.

VPN

Met dank aan Royce Gawron van Second Son Consulting, Inc. voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: