Zawartość związana z zabezpieczeniami w systemie macOS Mojave 10.14.3, uaktualnieniu zabezpieczeń 2019-001 High Sierra i uaktualnieniu zabezpieczeń 2019-001 Sierra

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Mojave 10.14.3, uaktualnieniu zabezpieczeń 2019-001 High Sierra i uaktualnieniu zabezpieczeń 2019-001 Sierra.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

System macOS Mojave 10.14.3, uaktualnienie zabezpieczeń 2019-001 High Sierra i uaktualnienie zabezpieczeń 2019-001 Sierra

Wydano 22 stycznia 2019 r.

AppleKeyStore

Dostępne dla: systemu macOS Mojave 10.14.2

Zagrożenie: proces działający w piaskownicy może być w stanie obejść ograniczenia piaskownicy.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2019-6235: Brandon Azad

Bluetooth

Dostępne dla: systemów macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: atakująca osoba z uprzywilejowanym dostępem do sieci może być w stanie wykonać dowolny kod.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2019-6200: anonimowy badacz

Core Media

Dostępne dla: systemów macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2019-6202: Fluoroacetate w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2019-6221: Fluoroacetate w ramach programu Zero Day Initiative firmy Trend Micro

CoreAnimation

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwa aplikacja może odczytać pamięć zastrzeżoną.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2019-6231: Zhuo Liang z zespołu Nirvan Team firmy Qihoo 360

CoreAnimation

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwa aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2019-6230: Proteas, Shrek_wzw i Zhuo Liang z zespołu Nirvan Team firmy Qihoo 360

FaceTime

Dostępne dla: systemów macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: osoba atakująca zdalnie może zainicjować połączenie FaceTime i spowodować w ten sposób wykonanie dowolnego kodu.

Opis: usunięto błąd przepełnienia buforu przez poprawienie procedury obsługi pamięci.

CVE-2019-6224: Natalie Silvanovich z Google Project Zero

Hypervisor

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4467: Martim Carbone, David Vernet, Sam Scalise i Fred Jacobs z grupy Virtual Machine Monitor Group firmy VMware, Inc.

Sterownik graficzny Intel

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami systemowymi.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4452: Liu Long z zespołu Vulcan Team firmy Qihoo 360

IOKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwa aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: naprawiono błąd nieprawidłowego rozpoznawania typu przez poprawienie procedury obsługi pamięci.

CVE-2019-6214: Ian Beer z Google Project Zero

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwa aplikacja może podwyższyć poziom uprawnień.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2019-6225: Brandon Azad z Google Project Zero, Qixun Zhao z zespołu Vulcan Team firmy Qihoo 360

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2019-6210: Ned Williamson z Google

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowana aplikacja może spowodować nieoczekiwane zmiany w pamięci współdzielonej między kolejnymi procesami.

Opis: rozwiązano problem powodujący uszkodzenie zawartości pamięci przez poprawienie mechanizmu sprawdzania stanu blokady.

CVE-2019-6205: Ian Beer z Google Project Zero

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd przepełnienia buforu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2019-6213: Ian Beer z Google Project Zero

Jądro

Dostępne dla: systemów macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie określić rozkład pamięci jądra.

Opis: występował błąd odczytu spoza zakresu, który mógł doprowadzić do ujawnienia rozkładu pamięci jądra. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2019-6209: Brandon Azad z Google Project Zero

Jądro

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowana aplikacja może spowodować nieoczekiwane zmiany w pamięci współdzielonej między kolejnymi procesami.

Opis: naprawiono błąd inicjowania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2019-6208: Jann Horn z Google Project Zero

libxpc

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2019-6218: Ian Beer z Google Project Zero

Przetwarzanie języka naturalnego

Dostępne dla: systemu macOS Mojave 10.14.2

Zagrożenie: przetworzenie złośliwie spreparowanej wiadomości mogło doprowadzić do ataku typu „odmowa usługi”.

Opis: rozwiązano problem z podatnością na atak typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności.

CVE-2019-6219: Authier Thomas

QuartzCore

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Zagrożenie: aplikacja może odczytać pamięć zastrzeżoną.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2019-6220: Yufeng Ruan z Chaitin Security Research Lab

SQLite

Dostępne dla: systemu macOS Mojave 10.14.2

Zagrożenie: złośliwie spreparowane zapytania SQL może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2018-20346: zespół Tencent Blade Team

CVE-2018-20505: zespół Tencent Blade Team

CVE-2018-20506: zespół Tencent Blade Team

WebRTC

Dostępne dla: systemu macOS Mojave 10.14.2

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2019-6211: Georgi Geshev (@munmap), Fabi Beterke (@pwnfl4k3s) i Rob Miller (@trotmaster99) z MWR Labs (@mwrlabs) w ramach programu Zero Day Initiative firmy Trend Micro

Dodatkowe podziękowania

apache_mod_php

Dziękujemy anonimowemu badaczowi za pomoc.

Jądro

Dziękujemy za udzieloną pomoc: Daniel Roethlisberger ze Swisscom CSIRT.

LibreSSL

Dziękujemy za udzieloną pomoc: Viktor Szakats.

mDNSResponder

Dziękujemy za udzieloną pomoc: Fatemah Alharbi z University of California, Riverside (UCR) i Taibah University (TU), Jie Chang z LinkSure Network, Yuchen Zhou z Northeastern University, Feng Qian z University of Minnesota – Twin City, Zhiyun Qian z University of California, Riverside (UCR) oraz Nael Abu-Ghazaleh z University of California, Riverside (UCR).

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: