Om sikkerhetsinnholdet i macOS Catalina 10.15.6, sikkerhetsoppdatering 2020-004 Mojave og sikkerhetsoppdatering 2020-004 High Sierra

I dette dokumentet beskrives sikkerhetsinnholdet i macOS Catalina 10.15.6, sikkerhetsoppdatering 2020-004 Mojave og sikkerhetsoppdatering 2020-004 High Sierra.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

macOS Catalina 10.15.6, sikkerhetsoppdatering 2020-004 Mojave og sikkerhetsoppdatering 2020-004 High Sierra

Utgitt 15. juli 2020

AMD

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret validering av inndata.

CVE-2020-9927: Lilang Wu i samarbeid med Trend Micros Zero Day Initiative

Oppføring lagt til 24. juli 2020

Lyd

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av en skadelig lydfil kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9884: Yu Zhou (@yuzhou6666) fra 小鸡帮 i samarbeid med Trend Micro Zero Day Initiative

CVE-2020-9889: JunDong Xie og XingWei Li fra Ant-financial Light-Year Security Lab

Lyd

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av en skadelig lydfil kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor grensene ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9888: JunDong Xie og XingWei Li fra Ant-financial Light-Year Security Lab

CVE-2020-9890: JunDong Xie og XingWei Li fra Ant-financial Light-Year Security Lab

CVE-2020-9891: JunDong Xie og XingWei Li fra Ant-financial Light-Year Security Lab

Clang

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Clang kan generere maskinkode som ikke håndhever koder for pekerautentisering på riktig måte

Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.

CVE-2020-9870: Samuel Groß fra Google Project Zero

CoreAudio

Tilgjengelig for: macOS High Sierra 10.13.6

Virkning: En bufferoverflyt kan føre til kjøring av vilkårlig kode

Beskrivelse: En bufferoverflyt ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9866: Yu Zhou fra 小鸡帮 og Jundong Xie fra Ant-financial Light-Year Security Lab

CoreFoundation

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En lokal bruker kan være i stand til å se sensitiv brukerinformasjon

Beskrivelse: Det var et problem i håndteringen av miljøvariabler. Problemet ble løst gjennom forbedret validering.

CVE-2020-9934: en anonym forsker

CoreGraphics

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.

CVE-2020-9883: Mickey Jin fra Trend Micro

Oppføring lagt til 24. juli 2020

Crash Reporter

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Et skadelig program kan kanskje bryte ut av sandkassen sin

Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom fjerning av den sårbare koden.

CVE-2020-9865: Zhuo Liang fra Qihoo 360 Vulcan Team i samarbeid med 360 BugCloud

Grafikkdrivere

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Et skadelig program kan kanskje kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9799: ABC Research s.r.o.

Oppføring oppdatert 24. juli 2020

Heimdal

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En lokal bruker kan lekke sensitiv brukerinformasjon

Beskrivelse: Problemet ble løst med forbedret databeskyttelse.

CVE-2020-9913: Cody Thomas fra SpecterOps

ImageIO

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9871: Xingwei Lin fra Ant-Financial Light-Year Security Lab

CVE-2020-9872: Xingwei Lin fra Ant-Financial Light-Year Security Lab

CVE-2020-9936: Mickey Jin fra Trend Micro

Oppføring oppdatert 24. juli 2020

ImageIO

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.

CVE-2020-9919: Mickey Jin fra Trend Micro

Oppføring lagt til 24. juli 2020

ImageIO

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Åpning av en skadelig PDF-fil kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9876: Mickey Jin fra Trend Micro

Oppføring lagt til 24. juli 2020

ImageIO

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av et skadelig bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-9873: Xingwei Lin fra Ant-Financial Light-Year Security Lab

CVE-2020-9938: Xingwei Lin fra Ant-Financial Light-Year Security Lab

Oppføring lagt til 24. juli 2020

Intel Graphics-driver

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Et lokal bruker kan være i stand til å forårsake uventet systemavslutning eller lesing av kjerneminne

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-9908: Junzhi Lu (@pwn0rz) fra Trend Micro

Oppføring lagt til 24. juli 2020

Kjerne

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å injisere i aktive forbindelser innenfor en VPN-tunnel

Beskrivelse: Et problem med ruting ble løst gjennom forbedrede restriksjoner.

CVE-2019-14899: William J. Tolley, Beau Kujath og Jedidiah R. Crandall

Kjerne

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med sikkerhetsbrud i minnet ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9904: Tielei Wang fra Pangu Lab

Oppføring lagt til 24. juli 2020

Kjerne

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: En ekstern angriper kan forårsake tjenestenekt

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9924: Matt DeVore fra Google

Oppføring lagt til 24. juli 2020

Kjerne

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Et skadelig program kan kanskje kjøre vilkårlig kode med systemrettigheter

Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9892: Andy Nguyen fra Google

Oppføring lagt til 24. juli 2020

Kjerne

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med initialisering av minne ble løst gjennom forbedret minnehåndtering.

CVE-2020-9863: En anonym forsker

Oppføring lagt til 24. juli 2020

E-post

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En ekstern angriper kan forårsake tjenestenekt

Beskrivelse: Et problem med skriving utenfor området ble løst gjennom forbedret grenseverdikontroll.

CVE-2019-19906

Oppføring oppdatert 24. juli 2020

E-post

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En skadelig e-posttjener kan overskrive vilkårlige e-postfiler

Beskrivelse: Et problem med banehåndtering ble løst gjennom forbedret validering.

CVE-2020-9920: YongYue Wang AKA BigChan fra Hillstone Networks AF Team

Oppføring lagt til 24. juli 2020

Meldinger

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En bruker som ble fjernet fra en iMessage-gruppe, kunne bli med i gruppen på nytt

Beskrivelse: Det var et problem med håndteringen av iMessage-tapback. Problemet ble løst med ekstra verifisering.

CVE-2020-9885: en anonym forsker, Suryansh Mansharamani, fra WWP High School North (medium.com/@suryanshmansha)

Model I/O

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Behandling av en skadelig USD-fil kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.

CVE-2020-9878: Holger Fuhrmannek fra Deutsche Telekom Security

Model I/O

Tilgjengelig for: macOS Mojave 10.14.6

Virkning: Behandling av en ondsinnet USD-fil kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: En bufferoverflyt ble løst gjennom forbedret grenseverdikontroll.

CVE-2020-9880: Holger Fuhrmannek fra Deutsche Telekom Security

Oppføring lagt til 24. juli 2020

Model I/O

Tilgjengelig for: macOS Mojave 10.14.6, macOS Catalina 10.15.5

Virkning: Behandling av en ondsinnet USD-fil kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et problem med bufferoverflyt ble løst gjennom forbedret minnehåndtering.

CVE-2020-9878: Holger Fuhrmannek fra Deutsche Telekom Security

CVE-2020-9881: Holger Fuhrmannek fra Deutsche Telekom Security

CVE-2020-9882: Holger Fuhrmannek fra Deutsche Telekom Security

Oppføring lagt til 24. juli 2020

rsync

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Virkning: En ekstern angriper kan være i stand til å overskrive eksisterende filer

Beskrivelse: Det var et valideringsproblem i håndteringen av symlinks. Problemet ble løst gjennom forbedret validering av symlinks.

CVE-2014-9512: gaojianfeng

Oppføring lagt til 24. juli 2020

Sikkerhet

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.

CVE-2020-9864: Alexander Holodny

Sikkerhet

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: En angriper kan ha vært i stand til å utgi seg for å være et pålitelig nettsted ved å bruke delt nøkkelmateriale for et sertifikat lagt til av administrator

Beskrivelse: Det var et problem med sertifikatvalidering ved behandling av sertifikater lagt til av administrator. Problemet ble løst med forbedret sertifikatvalidering.

CVE-2020-9868: Brian Wolff fra Asana

Oppføring lagt til 24. juli 2020

Sikkerhet

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Virkning: Et program kan være i stand til å få utvidede rettigheter

Beskrivelse: Et logisk problem ble løst gjennom forbedret validering.

CVE-2020-9854: Ilias Morad (A2nkF)

Oppføring lagt til 24. juli 2020

Vim

Tilgjengelig for: macOS High Sierra 10.13.6 og macOS Mojave 10.14.6

Virkning: En ekstern angriper kan være i stand kjøre vilkårlig kode

Beskrivelse: Problemet ble løst gjennom bedre kontroller.

CVE-2019-20807: Guilherme de Almeida Suckevicz

Wi-Fi

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En ekstern angriper kan forårsake uventet systemavslutning eller skadet kjerneminne

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-9918: Jianjun Dai fra 360 Alpha Lab i samarbeid med 360 BugCloud (bugcloud.360.cn)

Wi-Fi

Tilgjengelig for: macOS Mojave 10.14.6, macOS High Sierra 10.13.6 og macOS Catalina 10.15.5

Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter

Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering av inndata.

CVE-2020-9899: Yu Wang fra Didi Research America

Oppføring lagt til 24. juli 2020

Wi-Fi

Tilgjengelig for: macOS Catalina 10.15.5

Virkning: En ekstern angriper kan forårsake uventet systemavslutning eller skadet kjerneminne

Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret validering av inndata.

CVE-2020-9906: Ian Beer fra Google Project Zero

Oppføring lagt til 24. juli 2020

Ytterligere anerkjennelser

USB-lyd

Vi vil gjerne takke Andy Davis fra NCC Group for hjelpen.

Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.

Publiseringsdato: