Om sikkerhetsinnholdet i OS X El Capitan v10.11.5 og Sikkerhetsoppdatering 2016-003

Dette dokumentet beskriver sikkerhetsinnholdet i OS X El Capitan v10.11.5 og Sikkerhetsoppdatering 2016-003.

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Finn ut mer om Apple Produktsikkerhet på nettstedet Apple Produktsikkerhet.

Finn ut mer om PGP-nøkkelen for Apple Produktsikkerhet under Slik bruker du PGP-nøkkelen for Apple Produktsikkerhet.

Der det er mulig brukes CVE-IDer som referanse til sårbarheter for ytterligere informasjon.

Finn ut mer om andre sikkerhetsoppdateringer på Sikkerhetsoppdateringer fra Apple.

OS X El Capitan v10.11.5 og Sikkerhetsoppdatering 2016-003

  • AMD

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1792: beist og ABH fra BoB

  • AMD

    Tilgjengelig for: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje fastslå layouten til kjerneminnet

    Beskrivelse: Det var et problem som førte til avdekking av innhold i kjerneminnet. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2016-1791: daybreaker fra Minionz

  • apache_mod_php

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Flere svakheter i PHP

    Beskrivelse: Det var flere sårbarheter i PHP-versjonene før 5.5.34. Disse ble rettet ved å oppdatere PHP til versjon 5.5.34.

    CVE-ID

    CVE-2015-8865

    CVE-2016-3141

    CVE-2016-3142

    CVE-2016-4070

    CVE-2016-4071

    CVE-2016-4072

    CVE-2016-4073

  • AppleGraphicsControl

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1793: Ian Beer fra Google Project Zero

    CVE-2016-1794: Ian Beer fra Google Project Zero

  • AppleGraphicsPowerManagement

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1795: Moony Li (@Flyic) og Jack Tang (@jacktang310) fra Trend Micro

  • ATS

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En lokal bruker kan kanskje lekke sensitiv brukerinformasjon

    Beskrivelse: Et problem med tilgang til minne utenfor grensene ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1796: lokihardt arbeider med Trend Micros Zero Day Initiative

  • ATS

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Det var et problem med retningslinjene for sandkassen. Dette ble løst ved å bruke sandkasseteknologi i FontValidator.

    CVE-ID

    CVE-2016-1797: lokihardt arbeider med Trend Micros Zero Day Initiative

  • Lyd

    Tilgjengelig for: OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan forårsake tjenestenekt

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1798: Juwei Lin fra TrendMicro

  • Lyd

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

    CVE-ID

    CVE-2016-1799: Juwei Lin fra TrendMicro

  • Captive Network Assistant

    Tilgjengelig for: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: En angriper i en privilegert nettverksposisjon kan kanskje utføre vilkårlig kode med brukerassistanse

    Beskrivelse: Et problem med håndtering av egendefinert URL-oppsett ble løst gjennom forbedret inndatavalidering.

    CVE-ID

    CVE-2016-1800: Apple

  • CFNetwork-proxier

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å lekke sensitiv brukerinformasjon

    Beskrivelse: Det var en informasjonslekkasje i håndteringen av HTTP- og HTTPS-forespørsler. Problemet ble løst gjennom forbedret URL-håndtering.

    CVE-ID

    CVE-2016-1801: Alex Chapman og Paul Stone fra Context Information Security

  • CommonCrypto

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et skadelig program kan kanskje lekke sensitiv brukerinformasjon

    Beskrivelse: Det var et problem med håndtering av returverdier i CCCrypt. Problemet ble løst gjennom forbedret håndtering av nøkkellengde.

    CVE-ID

    CVE-2016-1802: Klaus Rodewig

  • CoreCapture

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1803: Ian Beer fra Google Project Zero, daybreaker som arbeider med Trend Micros Zero Day Initiative

  • CoreStorage

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et konfigurasjonsproblem ble løst gjennom ekstra restriksjoner.

    CVE-ID

    CVE-2016-1805: Stefan Esser

  • Crash Reporter

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan være i stand til å utføre vilkårlig kode med rotrettigheter

    Beskrivelse: Et konfigurasjonsproblem ble løst gjennom ekstra restriksjoner.

    CVE-ID

    CVE-2016-1806: lokihardt arbeider med Trend Micros Zero Day Initiative

  • Diskfiler

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En lokal angriper kan være i stand til å lese kjerneminne

    Beskrivelse: En kappløpssituasjon ble løst gjennom forbedret låsing.

    CVE-ID

    CVE-2016-1807: Ian Beer fra Google Project Zero

  • Diskfiler

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Det var et problem med skadet minne i parsingen av diskfiler. Problemet ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1808: Moony Li (@Flyic) og Jack Tang (@jacktang310) fra Trend Micro

  • Diskverktøy

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Diskverktøy klarte ikke å komprimere og kryptere diskfiler

    Beskrivelse: Det ble brukt feil nøkler til å kryptere diskfiler. Problemet ble løst ved å oppdatere krypteringsnøklene.

    CVE-ID

    CVE-2016-1809: Ast A. Moore (@astamoore) og David Foster fra TechSmartKids

  • Grafikkdrivere

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1810: Moony Li (@Flyic) og Jack Tang (@jacktang310) fra Trend Micro

  • ImageIO

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Behandling av en skadelig fil kan føre til tjenestenekt

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1811: Lander Brandt (@landaire)

  • Intel Graphics-driver

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Bufferoverflyt ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2016-1812: Juwei Lin fra Trend Micro

  • Intel Graphics-driver

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje fastslå layouten til kjerneminnet

    Beskrivelse: Flere tilgangsproblemer ble løst gjennom ytterligere restriksjoner.

    CVE-ID

    CVE-2016-1860: Brandon Azad og Qidan He (@flanker_hqd) fra KeenLab, Tencent

    CVE-2016-1862: Marco Grassi (@marcograss) fra KeenLab (@keen_lab), Tencent

  • IOAcceleratorFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan forårsake tjenestenekt

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret låsing.

    CVE-ID

    CVE-2016-1814: Juwei Lin fra Trend Micro

  • IOAcceleratorFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1815: Liang Chen, Qidan He fra KeenLab, Tencent arbeider med Trend Micros Zero Day Initiative

    CVE-2016-1817: Moony Li (@Flyic) og Jack Tang (@jacktang310) fra Trend Micro arbeider med Trend Micros Zero Day Initiative

    CVE-2016-1818: Juwei Lin fra Trend Micro, sweetchip@GRAYHASH arbeider med Trend Micros Zero Day Initiative

    CVE-2016-1819: Ian Beer fra Google Project Zero

    Oppføring lagt til 13. desember 2016

  • IOAcceleratorFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1813: Ian Beer fra Google Project Zero

    CVE-2016-1816: Peter Pi (@heisecode) fra Trend Micro og Juwei Lin fra Trend Micro

  • IOAudioFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Bufferoverflyt ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2016-1820: Moony Li (@Flyic) og Jack Tang (@jacktang310) fra Trend Micro arbeider med Trend Micros Zero Day Initiative

  • IOAudioFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: En dereferanse for en nullpeker ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2016-1821: Ian Beer fra Google Project Zero

  • IOFireWireFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1822: CESG

  • IOHIDFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1823: Ian Beer fra Google Project Zero

    CVE-2016-1824: Marco Grassi (@marcograss) fra KeenLab (@keen_lab), Tencent

    CVE-2016-4650: Peter Pi fraTrend Micro arbeider med HPs Zero Day Initiative

  • IOHIDFamily

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1825: Brandon Azad

  • Kjerne

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1827: Brandon Azad

    CVE-2016-1828: Brandon Azad

    CVE-2016-1829: CESG

    CVE-2016-1830: Brandon Azad

    CVE-2016-1831: Brandon Azad

  • Kjerne

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Det var heltallsoverflyt i dtrace. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2016-1826: Ben Murphy arbeider med Trend Micros Zero Day Initiative

  • libc

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En lokal angriper kan forårsake uventet avslutning av en applikasjon eller utføring av vilkårlig kode

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

    CVE-ID

    CVE-2016-1832: Karl Williamson

  • libxml2

    Tilgjengelig for: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: Behandling av en skadelig XML-fil kan føre til uventet avslutning av et program eller utføring av vilkårlig kode

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1833: Mateusz Jurczyk

    CVE-2016-1834: Apple

    CVE-2016-1835: Wei Lei og Liu Yang fra Det teknologiske universitetet i Nanyang

    CVE-2016-1836: Wei Lei og Liu Yang fra det teknologiske universitetet i Nanyang

    CVE-2016-1837: Wei Lei og Liu Yang fra Det teknologiske universitetet i Nanyang

    CVE-2016-1838: Mateusz Jurczyk

    CVE-2016-1839: Mateusz Jurczyk

    CVE-2016-1840: Kostya Serebryany

  • libxslt

    Tilgjengelig for: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: Besøk på et skadelig nettsted kan føre til at vilkårlig kode utføres

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1841: Sebastian Apelt

  • MapKit

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å lekke sensitiv brukerinformasjon

    Beskrivelse: Delte lenker ble sendt med HTTP i stedet for HTTPS. Dette ble løst ved å aktivere HTTPS for delte koblinger.

    CVE-ID

    CVE-2016-1842: Richard Shupak (https://www.linkedin.com/in/rshupak)

  • Meldinger

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En skadelig server eller bruker kan kanskje endre en annen brukers kontaktliste

    Beskrivelse: Det var et valideringsproblem ved listeendringer. Problemet ble løst gjennom forbedret validering av listesett.

    CVE-ID

    CVE-2016-1844: Thijs Alkemade fra Computest

  • Meldinger

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En ekstern angriper kan kanskje lekke sensitiv brukerinformasjon

    Beskrivelse: Det var et kodeproblem i parsingen av filnavn. Problemet ble løst gjennom forbedret koding av filnavn.

    CVE-ID

    CVE-2016-1843: Heige (kjent som SuperHei) fra Knownsec 404 Security Team [http://www.knownsec.com]

  • Multi-Touch

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje utføre vilkårlig kode med systemrettigheter

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1804: Liang Chen, Yubin Fu, Marco Grassi fra KeenLab, Tencent fra Trend Micros Zero Day Initiative

  • NVIDIA-grafikkdrivere

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Et program kan kanskje kjøre vilkårlig kode med kjernerettigheter

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1846: Ian Beer fra Google Project Zero

    CVE-2016-1861: Ian Beer fra Google Project Zero

  • OpenGL

    Tilgjengelig for: OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 og OS X El Capitan v10.11 eller nyere

    Virkning: Behandling av skadelig nettinnhold kan føre til at vilkårlig kode kjøres

    Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1847: Tongbo Luo og Bo Qu fra Palo Alto Networks

  • QuickTime

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Åpning av en skadelig fil kan føre til uventet avslutning av et program eller utføring av vilkårlig kode

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1848: Francis Provencher fra COSIG

  • SceneKit

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: Åpning av en skadelig fil kan føre til uventet avslutning av et program eller utføring av vilkårlig kode

    Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2016-1850: Tyler Bohan fra Cisco Talos

  • Skjermlås

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En person med fysisk tilgang til en datamaskin kan kanskje tilbakestille et utløpt passord fra låseskjermen

    Beskrivelse: Det var et problem med behandling av passordprofiler. Problemet ble løst gjennom forbedret håndtering av tilbakestilling av passord.

    CVE-ID

    CVE-2016-1851: En anonym forsker

  • Tcl

    Tilgjengelig for: OS X El Capitan v10.11 eller nyere

    Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å lekke sensitiv brukerinformasjon

    Beskrivelse: Et problem med protokollsikkerhet ble løst gjennom å deaktivere SSLv2.

    CVE-ID

    CVE-2016-1853: Forskere ved Tel Aviv University, Münster University of Applied Sciences, Ruhr University Bochum, University of Pennsylvania, Hashcat-prosjektet, University of Michigan, Two Sigma, Google og OpenSSL-prosjektet: Nimrod Aviram, Sebastian Schinzel, Juraj Somorovsky, Nadia Heninger, Maik Dankel, Jens Steube, Luke Valenta, David Adrian, J. Alex Halderman, Viktor Dukhovni, Emilia Käsper, Shaanan Cohney, Susanne Engels, Christof Paar og Yuval Shavitt

OS X El Capitan v10.11.5 inkluderer sikkerhetsinnholdet i Safari 9.1.1.

Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.

Publiseringsdato: