Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.
macOS Sonoma 14.2
Wydano 11 grudnia 2023 r.
Accessibility
Dostępne dla: systemu macOS Sonoma
Zagrożenie: podczas korzystania z fizycznej klawiatury pola bezpiecznego tekstu mogą zostać wyświetlone za pośrednictwem klawiatury z funkcjami dostępności.
Opis: ten problem naprawiono przez poprawienie zarządzania stanem.
CVE-2023-42874: Don Clarke
Accessibility
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.
CVE-2023-42937: Noah Roskin-Frazee i Prof. J. (ZeroClicks.ai Lab)
Wpis dodano 22 stycznia 2024 r.
Accounts
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.
CVE-2023-42919: Kirin (@Pwnrin)
AppleEvents
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do informacji o kontaktach użytkownika.
Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.
CVE-2023-42894: Noah Roskin-Frazee i Prof. J. (ZeroClicks.ai Lab)
AppleGraphicsControl
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2023-42901: Ivan Fratric z Google Project Zero
CVE-2023-42902: Ivan Fratric z Google Project Zero i Michael DePlante (@izobashi) z Trend Micro Zero Day Initiative
CVE-2023-42912: Ivan Fratric z Google Project Zero
CVE-2023-42903: Ivan Fratric z Google Project Zero
CVE-2023-42904: Ivan Fratric z Google Project Zero
CVE-2023-42905: Ivan Fratric z Google Project Zero
CVE-2023-42906: Ivan Fratric z Google Project Zero
CVE-2023-42907: Ivan Fratric z Google Project Zero
CVE-2023-42908: Ivan Fratric z Google Project Zero
CVE-2023-42909: Ivan Fratric z Google Project Zero
CVE-2023-42910: Ivan Fratric z Google Project Zero
CVE-2023-42911: Ivan Fratric z Google Project Zero
CVE-2023-42926: Ivan Fratric z Google Project Zero
AppleVA
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie obrazu może doprowadzić do wykonania dowolnego kodu.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
CVE-2023-42882: Ivan Fratric z Google Project Zero
AppleVA
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie pliku może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
CVE-2023-42881: Ivan Fratric z Google Project Zero
Wpis dodano 12 grudnia 2023 r.
Archive Utility
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.
CVE-2023-42924: Mickey Jin (@patch1t)
Assets
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.
Opis: rozwiązano problem przez ulepszenie obsługi plików tymczasowych.
CVE-2023-42896: Mickey Jin (@patch1t)
Wpis dodano 22 marca 2024 r.
AVEVideoEncoder
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie ujawnić pamięć jądra.
Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.
CVE-2023-42884: anonimowy badacz
Bluetooth
Dostępne dla: systemu macOS Sonoma
Zagrożenie: osoba atakująca znajdująca się na uprzywilejowanej pozycji w sieci może być w stanie wprowadzać naciśnięcia klawiszy, fałszując użycie klawiatury.
Opis: ten błąd naprawiono przez ulepszenie sprawdzania.
CVE-2023-45866: Marc Newlin ze SkySafe
CoreMedia Playback
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: ten błąd naprawiono przez ulepszenie sprawdzania.
CVE-2023-42900: Mickey Jin (@patch1t)
CoreServices
Dostępne dla: systemu macOS Sonoma
Zagrożenie: użytkownik może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.
Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.
CVE-2023-42886: Koh M. Nakagawa (@tsunek0h)
curl
Dostępne dla: systemu macOS Sonoma
Zagrożenie: wiele błędów w komponentach curl.
Opis: naprawiono liczne błędy przez uaktualnienie biblioteki curl do wersji 8.4.0.
CVE-2023-38545
CVE-2023-38039
CVE-2023-38546
Wpis dodano 22 stycznia 2024 r., uaktualniono 13 lutego 2024 r.
DiskArbitration
Dostępne dla: systemu macOS Sonoma
Zagrożenie: proces może uzyskać uprawnienia administratora bez poprawnego uwierzytelnienia.
Opis: ten błąd naprawiono przez ulepszenie sprawdzania.
CVE-2023-42931: Yann GASCUEL z Alter Solutions
Wpis dodano 22 marca 2024 r.
FileURL
Dostępne dla: systemu macOS Sonoma
Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.
Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.
CVE-2023-42892: Anthony Cruz @App Tyrant Corp
Wpis dodano 22 marca 2024 r.
Find My
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie odczytać poufne informacje o lokalizacji.
Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.
CVE-2023-42922: Wojciech Regula z SecuRing (wojciechregula.blog)
ImageIO
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie obrazu może doprowadzić do wykonania dowolnego kodu.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
CVE-2023-42898: Zhenjiang Zhao z Pangu Team, Qianxin i Junsung Lee
CVE-2023-42899: Meysam Firouzi @R00tkitSMM i Junsung Lee
Wpis uaktualniono 22 marca 2024 r.
ImageIO
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ujawnienia pamięci procesowej.
Opis: ten błąd naprawiono przez ulepszenie sprawdzania.
CVE-2023-42888: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro
Wpis dodano 22 stycznia 2024 r.
IOKit
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może monitorować naciśnięcia klawiszy bez zgody użytkownika.
Opis: usunięto błąd dotyczący uwierzytelniania przez poprawienie mechanizmu zarządzania stanem.
CVE-2023-42891: anonimowy badacz
IOUSBDeviceFamily
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.
Opis: usunięto zjawisko wyścigu przez poprawienie obsługi stanu.
CVE-2023-42974: Pan ZhenPeng (@Peterpan0927) ze STAR Labs SG Pte. Ltd.
Wpis dodano 22 marca 2024 r.
Kernel
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) z Synacktiv (@Synacktiv)
Libsystem
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.
Opis: naprawiono błąd uprawnień przez usunięcie kodu związanego z luką w zabezpieczeniach i wprowadzenie dodatkowych procedur sprawdzania.
CVE-2023-42893
Wpis dodano 22 marca 2024 r.
Model I/O
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie obrazu może doprowadzić do ataku typu „odmowa usługi”.
Opis: usunięto błąd przez usunięcie kodu związanego z luką w zabezpieczeniach.
CVE-2023-3618
Wpis dodano 22 marca 2024 r.
ncurses
Dostępne dla: systemu macOS Sonoma
Zagrożenie: użytkownik zdalny może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2020-19185
CVE-2020-19186
CVE-2020-19187
CVE-2020-19188
CVE-2020-19189
CVE-2020-19190
NSOpenPanel
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie odczytywać arbitralnie wybrane pliki.
Opis: usunięto błąd dostępu przez wprowadzenie dodatkowych ograniczeń piaskownicy.
CVE-2023-42887: Ron Masas z BreakPoint.sh
Wpis dodano 22 stycznia 2024 r.
Sandbox
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.
CVE-2023-42936
Wpis dodano 22 marca 2024 r.
Share Sheet
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: rozwiązano problem z prywatnością przez przeniesienie poufnych danych do zabezpieczonej lokalizacji.
CVE-2023-40390: Csaba Fitzl (@theevilbit) z Offensive Security i Mickey Jin (@patch1t)
Wpis dodano 22 marca 2024 r.
SharedFileList
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.
Opis: ten błąd naprawiono przez ulepszenie sprawdzania.
CVE-2023-42842: anonimowy badacz
Shell
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2023-42930: Arsenii Kostromin (0x3c3e)
Wpis dodano 22 marca 2024 r.
System Settings
Dostępne dla: systemu macOS Sonoma
Zagrożenie: sesje zdalnego logowania mogą umożliwiać uzyskanie pełnych uprawnień dostępu do dysku.
Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.
CVE-2023-42913: Mattie Behrens i Joshua Jewett (@JoshJewett33)
Wpis dodano 22 marca 2024 r.
TCC
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.
Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.
CVE-2023-42932: Zhongquan Li (@Guluisacat)
TCC
Dostępne dla: systemu macOS Sonoma
Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.
Opis: usunięto błąd w procedurze obsługi wyrażeń przez poprawienie procedury sprawdzania poprawności.
CVE-2023-42947: Zhongquan Li (@Guluisacat) z Dawn Security Lab of JingDong
Wpis dodano 22 marca 2024 r.
Vim
Dostępne dla: systemu macOS Sonoma
Zagrożenie: otwarcie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu.
Opis: ten problem rozwiązano przez uaktualnienie do wersji Vim 9.0.1969.
CVE-2023-5344
WebKit
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie zawartości internetowej może spowodować wykonanie dowolnego kodu.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
WebKit Bugzilla: 259830
CVE-2023-42890: Pwn2car
WebKit
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie obrazu może doprowadzić do ataku typu „odmowa usługi”.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
WebKit Bugzilla: 263349
CVE-2023-42883: Zoom Offensive Security Team
WebKit
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.
WebKit Bugzilla: 263682
CVE-2023-42950: Nan Wang (@eternalsakura13) z 360 Vulnerability Research Institute i rushikesh nandedkar
Wpis dodano 22 marca 2024 r.
WebKit
Dostępne dla: systemu macOS Sonoma
Zagrożenie: przetworzenie zawartości internetowej może doprowadzić do ataku typu „odmowa usługi”.
Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.
WebKit Bugzilla: 263989
CVE-2023-42956: SungKwon Lee (Demon.Team)
Wpis dodano 22 marca 2024 r.
Dodatkowe podziękowania
Memoji
Dziękujemy za udzieloną pomoc: Jerry Tenenbaum.
WebSheet
Dziękujemy za udzieloną pomoc: Paolo Ruggero z e-phors S.p.A. (A FINCANTIERI S.p.A. Company).
Wpis dodano 22 marca 2024 r.
Wi-Fi
Dziękujemy za udzieloną pomoc: Noah Roskin-Frazee i Prof. J. (ZeroClicks.ai Lab).