Zawartość związana z zabezpieczeniami w systemie macOS Mojave 10.14

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Mojave 10.14.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

System macOS Mojave 10.14

Wydano 24 września 2018 r.

Bluetooth

Dostępne dla: komputera iMac (21,5-calowego, koniec 2012 r.), komputera iMac (27-calowego, koniec 2012 r.), komputera iMac (21,5-calowego, koniec 2013 r.), komputera iMac (21,5-calowego, połowa 2014 r.), komputera iMac (Retina 5K, 27-calowego, koniec 2014 r.), komputera iMac (21,5-calowego, koniec 2015 r.), komputera Mac mini (połowa 2011 r.), komputera Mac mini Server (połowa 2011 r.), komputera Mac mini (koniec 2012 r.), komputera Mac mini Server (koniec 2012 r.), komputera Mac mini (koniec 2014 r.), komputera Mac Pro (koniec 2013 r.), MacBooka Air (11-calowego, połowa 2011 r.), MacBooka Air (13-calowego, połowa 2011 r.), MacBooka Air (11-calowego, połowa 2012 r.), MacBooka Air (13-calowego, połowa 2012 r.), MacBooka Air (11-calowego, połowa 2013 r.), MacBooka Air (13-calowego, połowa 2013 r.), MacBooka Air (11-calowego, początek 2015 r.), MacBooka Air (13-calowego, początek 2015 r.), MacBooka Pro (13-calowego, połowa 2012 r.), MacBooka Pro (15-calowego, połowa 2012 r.), MacBooka Pro (Retina, 13-calowego, początek 2013 r.), MacBooka Pro (Retina, 15-calowego, początek 2013 r.), MacBooka Pro (Retina, 13-calowego, koniec 2013 r.) i MacBooka Pro (Retina, 15-calowego, koniec 2013 r.)

Zagrożenie: osoba atakująca mająca uprzywilejowany dostęp do sieci może być w stanie przechwycić ruch Bluetooth.

Opis: w interfejsie Bluetooth występował błąd sprawdzania poprawności danych wejściowych. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-5383: Lior Neumann i Eli Biham

 

Poniższe uaktualnienia są dostępne dla tych modeli komputerów Mac: MacBook (początek 2015 r. i nowsze), MacBook Air (połowa 2012 r. i nowsze), MacBook Pro (połowa 2012 r. i nowsze), Mac mini (koniec 2012 r. i nowsze), iMac (koniec 2012 r. i nowsze), iMac Pro (wszystkie modele), Mac Pro (modele z końca 2013 r., połowy 2010 r. i połowy 2012 r. z zalecanym procesorem graficznym obsługującym technologię Metal, w tym kartami graficznymi MSI Gaming Radeon RX 560 i Sapphire Radeon PULSE RX 580)

afpserver

Zagrożenie: osoba atakująca zdalnie może zaatakować serwery AFP za pośrednictwem klientów HTTP.

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4295: Jianjun Chen (@whucjj) z Tsinghua University i UC Berkeley

Wpis dodano 30 października 2018 r.

App Store

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie ustalić konto Apple ID właściciela komputera.

Opis: w procedurach obsługi konta Apple ID występował błąd uprawnień. Ten błąd naprawiono przez poprawienie procedur kontroli dostępu.

CVE-2018-4324: Sergii Kryvoblotskyi z firmy MacPaw Inc.

AppleGraphicsControl

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4417: Lee z wydziału Information Security Lab uczelni Yonsei University w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

Zapora sieciowa aplikacji

Zagrożenie: proces działający w piaskownicy może być w stanie obejść ograniczenia piaskownicy.

Opis: naprawiono błąd z konfiguracją przez wprowadzenie dodatkowych ograniczeń.

CVE-2018-4353: Abhinav Bansal z LinkedIn Inc.

Wpis uaktualniono 30 października 2018 r.

APR

Zagrożenie: w oprogramowaniu Perl występowało wiele błędów przepełnienia buforu.

Opis: naprawiono wiele błędów w oprogramowaniu Perl przez poprawienie procedury obsługi pamięci.

CVE-2017-12613: Craig Young z Tripwire VERT

CVE-2017-12618: Craig Young z Tripwire VERT

Wpis dodano 30 października 2018 r.

ATS

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4411: lilang wu moony Li z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

ATS

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2018-4308: Mohamed Ghannam (@_simo36)

Wpis dodano 30 października 2018 r.

Automatyczne odblokowywanie

Zagrożenie: złośliwie spreparowana aplikacja może uzyskiwać dostęp do kont Apple ID użytkowników lokalnych.

Opis: w weryfikacji uprawnień występował błąd sprawdzania poprawności. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności uprawnień procesów.

CVE-2018-4321: Min (Spark) Zheng, Xiaolong Bai z firmy Alibaba Inc.

CFNetwork

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4126: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

CoreFoundation

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4412: brytyjska organizacja National Cyber Security Centre (NCSC)

Wpis dodano 30 października 2018 r.

CoreFoundation

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4414: brytyjska organizacja National Cyber Security Centre (NCSC)

Wpis dodano 30 października 2018 r.

CoreText

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2018-4347: anonimowy badacz

Wpis dodano 30 października 2018 r.

Crash Reporter

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4333: Brandon Azad

CUPS

Zagrożenie: w niektórych konfiguracjach osoba atakująca zdalnie może zastąpić treść wiadomości serwera druku dowolną inną treścią.

Opis: naprawiono błąd dotyczący wstawiania danych przez poprawienie procedury sprawdzania poprawności.

CVE-2018-4153: Michael Hanselmann z hansmi.ch

Wpis dodano 30 października 2018 r.

CUPS

Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może wykonać atak typu „odmowa usługi”.

Opis: rozwiązano problem z podatnością na atak typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności.

CVE-2018-4406: Michael Hanselmann z hansmi.ch

Wpis dodano 30 października 2018 r.

Słownik

Zagrożenie: analizowanie złośliwie spreparowanego pliku słownika może doprowadzić do ujawnienia informacji o użytkowniku.

Opis: występował błąd sprawdzania poprawności umożliwiający dostęp do lokalnego pliku. Ten błąd naprawiono przez wprowadzenie oczyszczania danych wejściowych.

CVE-2018-4346: Wojciech Reguła (@_r3ggi) z SecuRing

Wpis dodano 30 października 2018 r.

Grand Central Dispatch

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4426: Brandon Azad

Wpis dodano 30 października 2018 r.

Heimdal

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4331: Brandon Azad

CVE-2018-4332: Brandon Azad

CVE-2018-4343: Brandon Azad

Wpis dodano 30 października 2018 r.

Hypervisor

Zagrożenie: systemy z mikroprocesorami wykorzystującymi wykonywanie spekulatywne i translację adresów mogą umożliwiać osobie atakującej z dostępem użytkownika lokalnego i uprawnieniem gościa systemu operacyjnego nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej danych L1 poprzez błąd strony terminalu i analizę typu side-channel.

Opis: naprawiono błąd powodujący ujawnianie informacji przez opróżnianie pamięci podręcznej danych L1 przy wejściu do maszyny wirtualnej.

CVE-2018-3646: Baris Kasikci, Daniel Genkin, Ofir Weisse i Thomas F. Wenisch z University of Michigan, Mark Silberstein i Marina Minkin z Technion, Raoul Strackx, Jo Van Bulck i Frank Piessens z KU Leuven, Rodrigo Branco, Henrique Kawakami, Ke Sun i Kekai Hu z Intel Corporation, Yuval Yarom z University of Adelaide

Wpis dodano 30 października 2018 r.

iBooks

Zagrożenie: analizowanie złośliwie spreparowanego pliku iBooks może doprowadzić do ujawnienia informacji o użytkowniku.

Opis: naprawiono błąd z konfiguracją przez wprowadzenie dodatkowych ograniczeń.

CVE-2018-4355: evi1m0 z bilibili security team

Wpis dodano 30 października 2018 r.

Sterownik graficzny Intel

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4396: Yu Wang z Didi Research America

CVE-2018-4418: Yu Wang z Didi Research America

Wpis dodano 30 października 2018 r.

Sterownik graficzny Intel

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4351: Appology Team @ Theori w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

Sterownik graficzny Intel

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4350: Yu Wang z Didi Research America

Wpis dodano 30 października 2018 r.

Sterownik graficzny Intel

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4334: Ian Beer z Google Project Zero

Wpis dodano 30 października 2018 r.

IOHIDFamily

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych

CVE-2018-4408: Ian Beer z Google Project Zero

Wpis dodano 30 października 2018 r.

IOKit

Zagrożenie: złośliwa aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4341: Ian Beer z Google Project Zero

CVE-2018-4354: Ian Beer z Google Project Zero

Wpis dodano 30 października 2018 r.

IOKit

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4383: Apple

Wpis dodano 30 października 2018 r.

IOUserEthernet

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4401: Apple

Wpis dodano 30 października 2018 r.

Jądro

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.

Opis: w przypadku uprzywilejowanych odwołań do interfejsów API występował błąd dostępu. Ten błąd naprawiono przez wprowadzenie dodatkowych ograniczeń.

CVE-2018-4399: Fabiano Anemone (@anoane)

Wpis dodano 30 października 2018 r.

Jądro

Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może być w stanie wykonać dowolny kod.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2018-4407: Kevin Backhouse z Semmle Ltd.

Wpis dodano 30 października 2018 r.

Jądro

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4336: Brandon Azad

CVE-2018-4337: Ian Beer z Google Project Zero

CVE-2018-4340: Mohamed Ghannam (@_simo36)

CVE-2018-4344: brytyjska organizacja National Cyber Security Centre (NCSC)

CVE-2018-4425: cc w ramach programu Zero Day Initiative firmy Trend Micro, Juwei Lin (@panicaII) z Trend Micro w ramach programu Zero Day Initiative firmy Trend Micro

Wpis uaktualniono 30 października 2018 r.

LibreSSL

Zagrożenie: w bibliotece LibreSSL występowało wiele błędów, które zostały naprawione w tym uaktualnieniu.

Opis: naprawiono liczne błędy przez uaktualnienie biblioteki LibreSSL do wersji 2.6.4.

CVE-2015-3194

CVE-2015-5333

CVE-2015-5334

CVE-2016-702

Wpis dodano 30 października 2018 r.

Okno logowania

Zagrożenie: użytkownik lokalny może spowodować atak typu „odmowa usługi”.

Opis: usunięto błąd sprawdzania poprawności przez poprawienie logiki sprawdzania.

CVE-2018-4348: Ken Gannon z MWR InfoSecurity i Christian Demko z MWR InfoSecurity

Wpis dodano 30 października 2018 r.

mDNSOffloadUserClient

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4326: anonimowy badacz w ramach programu Zero Day Initiative firmy Trend Micro, Zhuo Liang z Qihoo 360 Nirvan Team

Wpis dodano 30 października 2018 r.

MediaRemote

Zagrożenie: proces działający w piaskownicy może być w stanie obejść ograniczenia piaskownicy.

Opis: usunięto błąd dostępu przez wprowadzenie dodatkowych ograniczeń piaskownicy.

CVE-2018-4310: CodeColorist z Ant-Financial LightYear Labs

Wpis dodano 30 października 2018 r.

Mikrokod

Zagrożenie: systemy z mikroprocesorami wykorzystującymi wykonywanie spekulatywne i wykonywanie spekulatywne odczytów pamięci przed adresami wszystkich wcześniejszych zapisów pamięci mogą umożliwiać nieautoryzowane ujawnienie informacji osobie atakującej z dostępem użytkownika lokalnego poprzez analizę typu side-channel.

Opis: naprawiono błąd powodujący ujawnianie informacji przez uaktualnienie mikrokodu. Zapewnia to, że starsze dane odczytane z niedawno zapisanych adresów nie mogą zostać odczytane przez spekulatywny atak typu side-channel.

CVE-2018-3639: Jann Horn (@tehjh) z Google Project Zero (GPZ), Ken Johnson z Microsoft Security Response Center (MSRC)

Wpis dodano 30 października 2018 r.

Zabezpieczenia

Zagrożenie: użytkownik lokalny może spowodować atak typu „odmowa usługi”.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2018-4395: Patrick Wardle z Digita Security

Wpis dodano 30 października 2018 r.

Zabezpieczenia

Zagrożenie: osoba atakująca może być w stanie wykorzystać słabe punkty w algorytmie kryptograficznym RC4.

Opis: ten problem rozwiązano przez usunięcie algorytmu RC4.

CVE-2016-1777: Pepi Zawodsky

Funkcja Spotlight

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4393: Lufeng Li

Wpis dodano 30 października 2018 r.

Architektura objawów

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2018-4203: Bruno Keith (@bkth_) w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 30 października 2018 r.

Tekst

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego mogło doprowadzić do ataku typu „odmowa usługi”.

Opis: rozwiązano problem z podatnością na atak typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności.

CVE-2018-4304: jianan.huang (@Sevck)

Wpis dodano 30 października 2018 r.

Wi-Fi

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4338: Lee @ SECLAB, Yonsei University w ramach programu Zero Day Initiative firmy Trend Micro

Wpis dodano 23 października 2018 r.

Dodatkowe podziękowania

Architektura dostępności

Specjalne podziękowania za pomoc dla: Ryan Govostes.

Podstawowe dane

Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.

CoreGraphics

Specjalne podziękowania za pomoc dla: Nitin Arya z firmy Roblox Corporation.

Mail

Specjalne podziękowania za pomoc dla: Alessandro Avagliano z Rocket Internet SE, John Whitehead z The New York Times, Kelvin Delbarre z Omicron Software Systems i Zbyszek Żółkiewski.

Zabezpieczenia

Specjalne podziękowania za pomoc dla: Christoph Sinai, Daniel Dudek (@dannysapples) z The Irish Times, Filip Klubička (@lemoncloak) z ADAPT Centre, Dublin Institute of Technology, Istvan Csanady z Shapr3D, Omar Barkawi z ITG Software, Inc., Phil Caleno, Wilson Ding i anonimowego badacza.

SQLite

Dziękujemy za udzieloną pomoc: Andreas Kurtz (@aykay) z NESO Security Labs GmbH.

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: