Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
Beveiligingsupdate 2021-002 Catalina
Releasedatum: 26 april 2021
APFS
Beschikbaar voor: macOS Catalina
Impact: een lokale gebruiker kan willekeurige bestanden lezen
Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.
CVE-2021-1797: Thomas Tempelmann
Archive Utility
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan Gatekeeper-controles omzeilen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2021-1810: Rasmus Sten (@pajp) van F-Secure
Audio
Beschikbaar voor: macOS Catalina
Impact: een programma kan beperkt geheugen lezen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1808: JunDong Xie van het Ant Security Light-Year Lab
CFNetwork
Beschikbaar voor: macOS Catalina
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan gevoelige gebruikersgegevens openbaar maken
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2021-1857: een anonieme onderzoeker
CoreAudio
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan beperkt geheugen lezen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1809: JunDong Xie van het Ant Security Light-Year Lab
CoreAudio
Beschikbaar voor: macOS Catalina
Impact: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie
Beschrijving: het verwerken van een kwaadwillig vervaardigd audiobestand kan beperkt geheugen vrijgeven.
CVE-2021-1846: JunDong Xie van het Ant Security Light-Year Lab
Toegevoegd op 21 juli 2021
CoreGraphics
Beschikbaar voor: macOS Catalina
Impact: het openen van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1847: Xuwei Liu van Purdue University
CoreText
Beschikbaar voor: macOS Catalina
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het vrijgeven van procesgeheugen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2021-1811: Xingwei Lin van het Ant Security Light-Year Lab
curl
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardige server kan actieve voorzieningen vrijgeven
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2020-8284: Marian Rehak
Toegevoegd op 6 mei 2021
curl
Beschikbaar voor: macOS Catalina
Impact: een externe aanvaller kan mogelijk zorgen voor een denial of service
Beschrijving: een bufferoverloop is verholpen door verbeterde invoervalidatie.
CVE-2020-8285: xnynx
curl
Beschikbaar voor: macOS Catalina
Impact: een aanvaller kan een frauduleuze OCSP-reactie verstrekken die geldig lijkt te zijn
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2020-8286: een anonieme onderzoeker
DiskArbitration
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan mogelijk beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: er was een probleem met bevoegdheden in DiskArbitration. Dit is verholpen door extra controles van de eigendomsrechten.
CVE-2021-1784: Mikko Kenttälä (@Turmio_) van SensorFu, Csaba Fitzl (@theevilbit) van Offensive Security en een anonieme onderzoeker
FontParser
Beschikbaar voor: macOS Catalina
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2021-1881: Hou JingYi (@hjy79425575) van Qihoo 360, een anonieme onderzoeker, Xingwei Lin het van Ant Security Light-Year Lab en Mickey Jin van Trend Micro
FontParser
Beschikbaar voor: macOS Catalina
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2020-27942: een anonieme onderzoeker
Foundation
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan rootbevoegdheden verkrijgen
Beschrijving: een validatieprobleem is verholpen door verbeterde logica.
CVE-2021-1813: Cees Elzinga
Foundation
Beschikbaar voor: macOS Catalina
Impact: een programma kan toegang krijgen tot verhoogde bevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)
ImageIO
Beschikbaar voor: macOS Catalina
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2021-1843: Ye Zhang van Baidu Security
ImageIO
Beschikbaar voor: macOS Catalina
Impact: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole
Beschrijving: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code.
CVE-2021-1858: Mickey Jin en Qi Sun van Trend Micro in samenwerking met het Zero Day Initiative van Trend Micro
Toegevoegd op 21 juli 2021
Intel Graphics Driver
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2021-1834: ABC Research s.r.o. in samenwerking met het Zero Day Initiative van Trend Micro
Intel Graphics Driver
Beschikbaar voor: macOS Catalina
Impact: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole
Beschrijving: een kwaadaardig programma kan willekeurige code uitvoeren met kernelbevoegdheden.
CVE-2021-1841: Jack Dates van RET2 Systems, Inc.
Toegevoegd op 21 juli 2021
Kernel
Beschikbaar voor: macOS Catalina
Impact: een kwaadwillig vervaardigd programma kan kernelgeheugen vrijgeven
Beschrijving: een probleem met geheugeninitialisatie is verholpen door een verbeterde verwerking van het geheugen.
CVE-2021-1860: @0xalsr
Kernel
Beschikbaar voor: macOS Catalina
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2021-1851: @0xalsr
Kernel
Beschikbaar voor: macOS Catalina
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1840: Zuozhi Fan (@pattern_F_) van het Ant Group Tianqiong Security Lab
Kernel
Beschikbaar voor: macOS Catalina
Impact: het probleem is verholpen door een verbeterde logica voor bevoegdheden
Beschrijving: gekopieerde bestanden hebben mogelijk niet de verwachte bestandsbevoegdheden.
CVE-2021-1832: een anonieme onderzoeker
Toegevoegd op 21 juli 2021
libxpc
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan rootbevoegdheden verkrijgen
Beschrijving: een racevoorwaarde is verholpen met aanvullende validatie.
CVE-2021-30652: James Hutchins
libxslt
Beschikbaar voor: macOS Catalina
Impact: het verwerken van een kwaadwillig vervaardigd bestand kan leiden tot heapbeschadiging
Beschrijving: een double-free-probleem is verholpen door verbeterd geheugenbeheer.
CVE-2021-1875: gevonden door OSS-Fuzz
Login Window
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma met rootbevoegdheden kan toegang krijgen tot privé-informatie
Beschrijving: dit probleem is verholpen door middel van verbeterde bevoegdheden.
CVE-2021-1824: Wojciech Reguła (@_r3ggi) van SecuRing
NSRemoteView
Beschikbaar voor: macOS Catalina
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2021-1876: Matthew Denton van Google Chrome
Preferences
Beschikbaar voor: macOS Catalina
Impact: een lokale gebruiker kan beveiligde onderdelen van het bestandssysteem wijzigen
Beschrijving: een probleem met het parseren bij de verwerking van directorypaden is verholpen door een verbeterde padvalidatie.
CVE-2021-1739: Zhipeng Huo (@R3dF09) en Yuebin Sun (@yuebinsun2020) van het Tencent Security Xuanwu Lab (xlab.tencent.com)
CVE-2021-1740: Zhipeng Huo (@R3dF09) en Yuebin Sun (@yuebinsun2020) van het Tencent Security Xuanwu Lab (https://xlab.tencent.com)
smbx
Beschikbaar voor: macOS Catalina
Impact: een aanvaller in een geprivilegieerde netwerkpositie kan mogelijk vertrouwelijke gebruikersinformatie vrijgeven
Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.
CVE-2021-1878: Aleksandar Nikolic van Cisco Talos (talosintelligence.com)
System Preferences
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan Gatekeeper-controles omzeilen. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem.
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2021-30657: Cedric Owens (@cedowens)
Toegevoegd op 27 april 2021, bijgewerkt op 30 april 2021
Tailspin
Beschikbaar voor: macOS Catalina
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2021-1868: Tim Michaud van Zoom Communications
tcpdump
Beschikbaar voor: macOS Catalina
Impact: een externe aanvaller kan mogelijk zorgen voor een denial of service
Beschrijving: dit probleem is verholpen door middel van verbeterde controles.
CVE-2020-8037: een anonieme onderzoeker
Time Machine
Beschikbaar voor: macOS Catalina
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.
CVE-2021-1839: Tim Michaud (@TimGMichaud) van Zoom Video Communications en Gary Nield van ECSC Group plc
Wi-Fi
Beschikbaar voor: macOS Catalina
Impact: een programma kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.
CVE-2021-1828: Zuozhi Fan (@pattern_F_) van het Ant Group Tianqiong Security Lab
Wi-Fi
Beschikbaar voor: macOS Catalina
Impact: het probleem is verholpen door een verbeterde logica voor bevoegdheden
Beschrijving: een programma kan willekeurige code uitvoeren met systeembevoegdheden.
CVE-2021-30655: Gary Nield van ECSC Group plc en Tim Michaud (@TimGMichaud) van Zoom Video Communications, Wojciech Reguła (@_r3ggi) van SecuRing
Toegevoegd op 21 juli 2021
wifivelocityd
Beschikbaar voor: macOS Catalina
Impact: een programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: het probleem is verholpen door een verbeterde logica voor bevoegdheden.
CVE-2020-3838: Dayton Pidhirney (@_watbulb)
WindowServer
Beschikbaar voor: macOS Catalina
Impact: een kwaadaardig programma kan onverwacht de inloggegevens van een gebruiker in beveiligde tekstvelden vrijgeven
Beschrijving: een API-probleem in TCC-bevoegdheden voor toegankelijkheid is verholpen door verbeterd statusbeheer.
CVE-2021-1873: een anonieme onderzoeker
Bijgewerkt op 27 april 2021
Aanvullende erkenning
CoreCrypto
Met dank aan Andy Russon van de Orange Group voor de hulp.
Toegevoegd op 6 mei 2021
Intel Graphics Driver
Met dank aan Jack Dates van RET2 Systems, Inc. voor de hulp.
Toegevoegd op 6 mei 2021
Kernel
Met dank aan Antonio Frighetto van Politecnico di Milano, GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan en een anonieme onderzoeker voor de hulp.
Toegevoegd op 6 mei 2021
Met dank aan Petter Flink, SecOps van Bonnier News en een anonieme onderzoeker voor de hulp.
Toegevoegd op 6 mei 2021
Safari
Met dank aan een anonieme onderzoeker voor de hulp.
Toegevoegd op 6 mei 2021
Security
Met dank aan Xingwei Lin van het Ant Security Light-Year Lab en john (@nyan_satan) voor de hulp.
Toegevoegd op 6 mei 2021