Over de beveiligingsinhoud van macOS Monterey 12.6.4

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Releasedatum: 27 maart 2023

Apple Neural Engine

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-23540: Mohamed GHANNAM (@_simo36)

AppleMobileFileIntegrity

Beschikbaar voor: macOS Monterey

Impact: een gebruiker kan mogelijk toegang verkrijgen tot beveiligde onderdelen van het bestandssysteem

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-23527: Mickey Jin (@patch1t)

Archive Utility

Beschikbaar voor: macOS Monterey

Impact: een archief kan Gatekeeper mogelijk omzeilen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-27951: Brandon Dalton (@partyD0lphin) van Red Canary en Csaba Fitzl (@theevilbit) van Offensive Security

Bijgewerkt op donderdag 8 juni 2023

Agenda

Beschikbaar voor: macOS Monterey

Impact: het importeren van een kwaadwillig vervaardigde agenda-uitnodiging kan gebruikersinformatie exfiltreren

Beschrijving: verscheidene validatieproblemen zijn verholpen door een verbeterde invoeropschoning.

CVE-2023-27961: Rıza Sabuncu (@rizasabuncu)

ColorSync

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk willekeurige bestanden lezen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-27955: JeongOhKyea

CommCenter

Beschikbaar voor: macOS Monterey

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.

CVE-2023-27936: Tingting Yin van Tsinghua University

CoreCapture

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-28181: Tingting Yin van Tsinghua University

Toegevoegd op 8 juni 2023

dcerpc

Beschikbaar voor: macOS Monterey

Impact: een externe gebruiker kan het onverwacht beëindigen van apps of het uitvoeren van willekeurige code veroorzaken

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2023-27935: Aleksandar Nikolic van Cisco Talos

dcerpc

Beschikbaar voor: macOS Monterey

Impact: een externe aanvaller kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met geheugeninitialisatie is verholpen.

CVE-2023-27934: Aleksandar Nikolic van Cisco Talos

Toegevoegd op 8 juni 2023

dcerpc

Beschikbaar voor: macOS Monterey

Impact: een externe gebruiker kan het onverwacht beëindigen van het systeem of het beschadigen van het kernelgeheugen veroorzaken

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-27953: Aleksandar Nikolic van Cisco Talos

CVE-2023-27958: Aleksandar Nikolic van Cisco Talos

Find My

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-23537: Adam M.

Toegevoegd op 21 december 2023

FontParser

Beschikbaar voor: macOS Monterey

Impact: het verwerken van een lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.

CVE-2023-32366: Ye Zhang (@VAR10CK) van Baidu Security

Toegevoegd op 21 december 2023

Foundation

Beschikbaar voor: macOS Monterey

Impact: het parseren van een kwaadwillig vervaardigd plist-bestand kan leiden tot het onverwacht beëindigen van de app of het uitvoeren van willekeurige code

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2023-27937: een anonieme onderzoeker

ImageIO

Beschikbaar voor: macOS Monterey

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2023-27946: Mickey Jin (@patch1t)

IOAcceleratorFamily

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2023-32378: Murray Mike

Toegevoegd op 21 december 2023

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: er was een probleem met het lezen buiten het bereik dat leidde tot de vrijgave van het kernelgeheugen. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2023-27941: Arsenii Kostromin (0x3c3e)

CVE-2023-28199: Arsenii Kostromin (0x3c3e)

Toegevoegd op 8 juni 2023, bijgewerkt op 21 december 2023

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2023-23536: Félix Poulin-Bélanger en David Pan Ogea

Toegevoegd op 8 juni 2023, bijgewerkt op 21 december 2023

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2023-23514: Xinru Chi van Pangu Lab en Ned Williamson van Google Project Zero

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-27933: sqrtpwn

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk het kernelgeheugen vrijgeven

Beschrijving: een validatieprobleem is verholpen door verbeterde invoeropschoning.

CVE-2023-28200: Arsenii Kostromin (0x3c3e)

Kernel

Beschikbaar voor: macOS Monterey

Impact: een app kan een denial-of-service veroorzaken

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2023-28185: Pan ZhenPeng van STAR Labs SG Pte. Ltd.

Toegevoegd op 21 december 2023

libpthread

Beschikbaar voor: macOS Monterey

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een type confusion-probleem is verholpen door verbeterde controles.

CVE-2023-41075: Zweig van Kunlun Lab

Toegevoegd op 21 december 2023

Mail

Beschikbaar voor: macOS Monterey

Impact: een app kan toegang tot vertrouwelijke gebruikersinformatie verkrijgen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-28189: Mickey Jin (@patch1t)

Toegevoegd op 8 juni 2023

Messages

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.

CVE-2023-28197: Joshua Jones

Toegevoegd op 21 december 2023

Model I/O

Beschikbaar voor: macOS Monterey

Impact: het verwerken van een kwaadwillig vervaardigd bestand kan het onverwacht beëindigen van een app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2023-27949: Mickey Jin (@patch1t)

NetworkExtension

Beschikbaar voor: macOS Monterey

Impact: een gebruiker in een geprivilegieerde netwerkpositie kan op een apparaat een VPN-server vervalsen die is geconfigureerd met verplichte EAP-authenticatie

Beschrijving: het probleem is verholpen door verbeterde authenticatie.

CVE-2023-28182: Zhuowei Zhang

PackageKit

Beschikbaar voor: macOS Monterey

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-23538: Mickey Jin (@patch1t)

CVE-2023-27962: Mickey Jin (@patch1t)

Podcasts

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-27942: Mickey Jin (@patch1t)

Sandbox

Beschikbaar voor: macOS Monterey

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-23533: Mickey Jin (@patch1t), Koh M. Nakagawa van FFRI Security, Inc. en Csaba Fitzl (@theevilbit) van Offensive Security

Sandbox

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2023-28178: Yiğit Can YILMAZ (@yilmazcanyigit)

Shortcuts

Beschikbaar voor: macOS Monterey

Impact: een opdracht kan bij bepaalde acties gebruikmaken van gevoelige gegevens zonder dat de gebruiker om toestemming wordt gevraagd

Beschrijving: het probleem is verholpen door aanvullende machtigingscontroles.

CVE-2023-27963: Jubaer Alnazi Jabin van TRS Group Of Companies en Wenchao Li en Xiaolong Bai van Alibaba Group

System Settings

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-23542: Adam M.

Bijgewerkt op 21 december 2023

System Settings

Beschikbaar voor: macOS Monterey

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een bevoegdhedenprobleem is verholpen door verbeterde validatie.

CVE-2023-28192: Guilherme Rambo van Best Buddy Apps (rambo.codes)

Vim

Beschikbaar voor: macOS Monterey

Impact: meerdere problemen in Vim

Beschrijving: meerdere problemen zijn verholpen door bij te werken naar versie 9.0.1191 van Vim.

CVE-2023-0433

CVE-2023-0512

XPC

Beschikbaar voor: macOS Monterey

Impact: een app kan buiten zijn sandbox komen

Beschrijving: dit probleem is verholpen door middel van een nieuwe bevoegdheid.

CVE-2023-27944: Mickey Jin (@patch1t)

Activation Lock

Met dank aan Christian Mina voor de hulp.

AppleMobileFileIntegrity

Met dank aan Wojciech Reguła (@_r3ggi) van SecuRing (wojciechregula.blog) voor de hulp.

CoreServices

Met dank aan Mickey Jin (@patch1t) voor de hulp.

NSOpenPanel

Met dank aan Alexandre Colucci (@timacfr) voor de hulp.

Wi-Fi

Met dank aan een anonieme onderzoeker voor de hulp.