Zawartość związana z zabezpieczeniami w systemie macOS Big Sur 11.6.1

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Big Sur 11.6.1.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

macOS Big Sur 11.6.1

Wydano 25 października 2021 r.

AppleScript

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego pliku binarnego AppleScript może spowodować nieoczekiwane zakończenie aplikacji lub ujawnienie pamięci procesowej.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30876: Jeremy Brown, hjy79425575

CVE-2021-30879: Jeremy Brown, hjy79425575

CVE-2021-30877: Jeremy Brown

CVE-2021-30880: Jeremy Brown

Audio

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwa aplikacja może zdobyć podwyższone uprawnienia.

Opis: naprawiono błąd przekroczenia zakresu liczb całkowitych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-30907: Zweig z Kunlun Lab

Bluetooth

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto sytuację wyścigu przez poprawienie obsługi stanu.

CVE-2021-30899: Weiteng Chen, Zheng Zhang i Zhiyun Qian z UC Riverside oraz Yu Wang z Didi Research America

ColorSync

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd w procedurze przetwarzania profilów ICC powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności danych wejściowych.

CVE-2021-30926: Jeremy Brown

Wpis dodano 25 maja 2022 r.

ColorSync

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do wykonania dowolnego kodu.

Opis: w procedurze przetwarzania profilów ICC występował błąd powodujący uszkodzenie zawartości pamięci. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-30917: Alexandru-Vlad Niculae i Mateusz Jurczyk z Google Project Zero

Continuity Camera

Dostępne dla: systemu macOS Big Sur

Zagrożenie: lokalny atakujący może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd dotyczący niekontrolowanych łańcuchów formatu przez poprawienie procedury walidacji danych wejściowych.

CVE-2021-30903: Ma Gongyu z Hangzhou Dianzi University

Wpis dodano 19 stycznia 2022 r., uaktualniono 25 maja 2022 r.

CoreAudio

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego pliku może spowodować ujawnienie informacji o użytkowniku.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30905: Mickey Jin (@patch1t) z firmy Trend Micro

Wpis dodano 19 stycznia 2022 r.

CoreGraphics

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego pliku PDF może doprowadzić do wykonania dowolnego kodu

Opis: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2021-30919

FileProvider

Dostępne dla: systemu macOS Big Sur

Zagrożenie: rozpakowanie złośliwie spreparowanego archiwum może doprowadzić do wykonania dowolnego kodu.

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie obsługi pamięci.

CVE-2021-30881: Simon Huang(@HuangShaomang) i pjf z IceSword Lab firmy Qihoo 360

GPU Drivers

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd zapisu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30900: Yinyi Wu (@3ndy1) z Ant Security Light-Year Lab

Wpis dodano 19 stycznia 2022 r.

iCloud

Dostępne dla: systemu macOS Big Sur

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-30906: Cees Elzinga

Intel Graphics Driver

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2021-30824: Antonio Zekic (@antoniozekic) z Diverto

Intel Graphics Driver

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono liczne błędy zapisu poza granicami przez poprawienie mechanizmu sprawdzania granic.

CVE-2021-30901: Zuozhi Fan (@pattern_F_) z Ant Security TianQiong Lab, Jack Dates z RET2 Systems, Inc., Liu Long z Ant Security Light-Year Lab, Yinyi Wu (@3ndy1) z Ant Security Light-Year Lab

CVE-2021-30922: Jack Dates z RET2 Systems, Inc., Yinyi Wu (@3ndy1)

Wpis uaktualniono 19 stycznia 2022 r., uaktualniono 25 maja 2022 r.

IOGraphics

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-30821: Tim Michaud (@TimGMichaud) z Zoom Video Communications

IOMobileFrameBuffer

Dostępne dla: systemu macOS Big Sur

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra. Apple ma świadomość, że problem mógł być aktywnie wykorzystywany.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-30883: anonimowy badacz

Kernel

Dostępne dla: systemu macOS Big Sur

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-30909: Zweig z Kunlun Lab

Kernel

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2021-30916: Zweig z Kunlun Lab

Model I/O

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetworzenie złośliwie spreparowanego pliku może spowodować ujawnienie informacji o użytkowniku.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30910: Mickey Jin (@patch1t) z firmy Trend Micro

Model I/O

Dostępne dla: systemu macOS Big Sur

Zagrożenie: przetwarzanie złośliwie spreparowanego pliku USD może spowodować ujawnienie zawartości pamięci.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2021-30911: Rui Yang i Xingwei Lin z Ant Security Light-Year Lab

SMB

Dostępne dla: systemu macOS Big Sur

Zagrożenie: osoba atakująca zdalnie może ujawnić zawartość pamięci.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-30844: Peter Nguyen Vu Hoang ze STAR Labs

Wpis dodano 25 maja 2022 r.

SMB

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto sytuację wyścigu przez poprawienie mechanizmu blokowania.

CVE-2021-30868: Peter Nguyen Vu Hoang ze STAR Labs

SoftwareUpdate

Dostępne dla: systemu macOS Big Sur

Zagrożenie: aplikacja bez uprawnień może mieć możliwość edytowania zmiennych pamięci NVRAM.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2021-30913: Kirin (@Pwnrin) i chenyuwang (@mzzzz__) z Tencent Security Xuanwu Lab

Wpis uaktualniono 25 maja 2022 r.

SoftwareUpdate

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwa aplikacja może uzyskać dostęp do elementów pęku kluczy użytkownika.

Opis: błąd naprawiono przez poprawienie procedur obsługi procesów logicznych uprawnień.

CVE-2021-30912: Kirin (@Pwnrin) i chenyuwang (@mzzzz__) z Tencent Security Xuanwu Lab

UIKit

Dostępne dla: systemu macOS Big Sur

Zagrożenie: osoba mająca fizyczny dostęp do urządzenia może ustalić cechy hasła użytkownika w bezpiecznym polu wprowadzania tekstu.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2021-30915: Kostas Angelopoulos

Windows Server

Dostępne dla: systemu macOS Big Sur

Zagrożenie: osoba atakująca lokalnie może być w stanie wyświetlić biurko poprzednio zalogowanego użytkownika na ekranie szybkiego przełączania użytkowników.

Opis: usunięto błąd dotyczący uwierzytelniania przez poprawienie mechanizmu zarządzania stanem.

CVE-2021-30908: ASentientBot

xar

Dostępne dla: systemu macOS Big Sur

Zagrożenie: rozpakowanie złośliwie spreparowanego archiwum może umożliwić osobie atakującej zapisanie dowolnych plików.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2021-30833: Richard Warren z NCC Group

Wpis dodano 19 stycznia 2022 r.

zsh

Dostępne dla: systemu macOS Big Sur

Zagrożenie: złośliwa aplikacja może być w stanie zmodyfikować chronione części systemu plików.

Opis: naprawiono błąd dziedziczonych uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2021-30892: Jonathan Bar Or z Microsoft

Dodatkowe podziękowania

iCloud

Dziękujemy za udzieloną pomoc: Ryan Pickren (ryanpickren.com).

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: