Zawartość związana z zabezpieczeniami w systemie macOS Mojave 10.14.2, uaktualnieniu zabezpieczeń 2018-003 High Sierra oraz uaktualnieniu zabezpieczeń 2018-006 Sierra

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Mojave 10.14.2, uaktualnieniu zabezpieczeń 2018-003 High Sierra oraz uaktualnieniu zabezpieczeń 2018-006 Sierra.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

System macOS Mojave 10.14.2, uaktualnienie zabezpieczeń 2018-003 High Sierra i uaktualnienie zabezpieczeń 2018-006 Sierra

AirPort

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd nieprawidłowego rozpoznawania typu przez poprawienie procedury obsługi pamięci.

CVE-2018-4303: Mohamed Ghannam (@_simo36)

AMD

Dostępne dla: systemów macOS Sierra 10.12.6, macOS Mojave 10.14.1 i macOS High Sierra 10.13.6

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd sprawdzania poprawności przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2018-4462: cocoahuke, Lilang Wu i Moony Li z TrendMicro Mobile Security Research Team w ramach programu Zero Day Initiative firmy Trend Micro

Carbon Core

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4463: Maksymilian Arciemowicz (cxsecurity.com)

Obrazy dysków

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.1

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4465: Pangu Team

Hypervisor

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4467: Martim Carbone, David Vernet, Sam Scalise i Fred Jacobs z grupy Virtual Machine Monitor Group firmy VMware, Inc.

Sterownik graficzny Intel

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4452: Liu Long z zespołu Vulcan Team firmy Qihoo 360

Sterownik graficzny Intel

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: użytkownik lokalny może być w stanie spowodować nieoczekiwane zamknięcie systemu lub odczytanie pamięci jądra.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4434: Zhuo Liang z zespołu Nirvan Team firmy Qihoo 360

Sterownik graficzny Intel

Dostępne dla: systemu macOS Sierra 10.12.6

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4456: Tyler Bohan z Cisco Talos

Sterownik graficzny Intel

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4421: Tyler Bohan z Cisco Talos

IOHIDFamily

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4427: Pangu Team

Jądro

Dostępne dla: systemu macOS Mojave 10.14.1, macOS High Sierra 10.13.6

Zagrożenie: użytkownik lokalny może być w stanie odczytać dane z pamięci jądra.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4431: tę lukę w zabezpieczeniach zgłosił niezależny badacz zabezpieczeń do programu wykrywania luk w zabezpieczeniach zespołu SecuriTeam firmy Beyond Security

CVE-2018-4448: Brandon Azad

Jądro

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: osoba atakująca z uprzywilejowanym dostępem do sieci może wykonać atak typu „odmowa usługi”.

Opis: naprawiono błąd podatności na atak typu „odmowa usługi” (DoS) przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2018-4460: Kevin Backhouse z Semmle Security Research Team

Jądro

Dostępne dla: systemów macOS High Sierra 10.13.6, macOS Mojave 10.14.1

Zagrożenie: użytkownik lokalny może być w stanie odczytać dane z pamięci jądra.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4431: tę lukę w zabezpieczeniach zgłosił niezależny badacz zabezpieczeń do programu wykrywania luk w zabezpieczeniach zespołu SecuriTeam firmy Beyond Security

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS Mojave 10.14.1 i macOS High Sierra 10.13.6

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4447: Juwei Lin(@panicaII) i Zhengyu Dong z TrendMicro Mobile Security Team w ramach programu Zero Day Initiative firmy Trend Micro

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS Mojave 10.14.1 i macOS High Sierra 10.13.6

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2018-4435: Jann Horn z Google Project Zero, Juwei Lin(@panicaII) i Junzhi Lu z TrendMicro Mobile Security Team w ramach programu Zero Day Initiative firmy Trend Micro

Jądro

Dostępne dla: systemu macOS Mojave 10.14.1

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-4461: Ian Beer z Google Project Zero

WindowServer

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.1

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4449: Hanqing Zhao, Yufeng Ruan i Kun Yang z Chaitin Security Research Lab

CVE-2018-4450: Hanqing Zhao, Yufeng Ruan i Kun Yang z Chaitin Security Research Lab

Dodatkowe podziękowania

LibreSSL

Dziękujemy za udzieloną pomoc: Keegan Ryan z NCC Group.

NetAuth

Dziękujemy za udzieloną pomoc: Vladimir Ivanov z Digital Security.

Protokół SCEP (Simple Certificate Enrollment Protocol)

Dziękujemy za udzieloną pomoc: Tim Cappalli z Aruba oraz firma Hewlett Packard Enterprise Company.

Time Machine

Dziękujemy za udzieloną pomoc: Matthew Thomas z Verisign.