Acerca das atualizações de segurança da Apple
Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.
Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple. Pode cifrar comunicações com a Apple através da Chave PGP de segurança dos produtos Apple.
Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.
macOS High Sierra 10.13.4, Atualização de segurança 2018-002 Sierra e Atualização de segurança 2018-002 El Capitan
Data de lançamento: 29 de março de 2018
Admin Framework
Disponível para: macOS High Sierra 10.13.3
Impacto: as palavras-passe fornecidas a sysadminctl poderão ser expostas a outros utilizadores locais
Descrição: a ferramenta da linha de comandos sysadminctl requeria que as palavras-passe fossem enviadas para a mesma através dos respetivos argumentos, expondo potencialmente as palavras-passe a outros utilizadores locais. Esta atualização torna opcional o parâmetro da palavra-passe e a sysadminctl irá solicitá-la, se necessário.
CVE-2018-4170: investigador anónimo
APFS
Disponível para: macOS High Sierra 10.13.3
Impacto: a palavra-passe de um volume APFS poderá ser truncada inesperadamente
Descrição: foi resolvido um problema de injeção através de validação melhorada da entrada.
CVE-2018-4105: David J Beitey (@davidjb_), Geoffrey Bugniot
ATS
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: o processamento de um ficheiro criado com intuito malicioso poderá divulgar informações do utilizador
Descrição: existia um problema de validação no processamento de ligações simbólicas. Este problema foi resolvido através da validação melhorada de ligações simbólicas.
CVE-2018-4112: Haik Aftandilian da Mozilla
CFNetwork Session
Disponível para: OS X El Capitan 10.11.6 e macOS Sierra 10.12.6
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4166: Samuel Groß (@5aelo)
CoreFoundation
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4155: Samuel Groß (@5aelo)
CVE-2018-4158: Samuel Groß (@5aelo)
CoreText
Disponível para: macOS High Sierra 10.13.3
Impacto: o processamento de uma cadeia criada com intuito malicioso poderá provocar uma recusa de serviço
Descrição: foi resolvido um problema de recusa de serviço através do processamento melhorado da memória.
CVE-2018-4142: Robin Leroy da Google Switzerland GmbH
CoreTypes
Disponível para: OS X El Capitan 10.11.6 e macOS Sierra 10.12.6
Impacto: o processamento de uma página web criada com intuito malicioso poderá resultar na montagem de uma imagem de disco
Descrição: foi resolvido um problema de lógica através de restrições melhoradas.
CVE-2017-13890: Apple, Theodor Ragnar Gislason da Syndis
curl
Disponível para: OS X El Capitan 10.11.6 e macOS Sierra 10.12.6
Impacto: vários problemas no curl
Descrição: existia um problema de ultrapassagem do limite máximo de números inteiros no curl. Este problema foi resolvido através da verificação melhorada dos limites.
CVE-2017-8816: Alex Nichols
Entrada atualizada a 30 de março de 2018
Imagens de disco
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: montar uma imagem de disco maliciosa poderá originar a abertura de uma aplicação
Descrição: foi resolvido um problema de lógica através da validação melhorada.
CVE-2018-4176: Theodor Ragnar Gislason da Syndis
Gestão do disco
Disponível para: macOS High Sierra 10.13.3
Impacto: a palavra-passe de um volume APFS poderá ser truncada inesperadamente
Descrição: foi resolvido um problema de injeção através de validação melhorada da entrada.
CVE-2018-4108: Kamatham Chaitanya da ShiftLeft Inc., investigador anónimo
Eventos do sistema de ficheiros
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4167: Samuel Groß (@5aelo)
iCloud Drive
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4151: Samuel Groß (@5aelo)
Intel Graphics Driver
Disponível para: macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do sistema
Descrição: foi resolvido um problema de corrupção de memória através do processamento melhorado da memória.
CVE-2018-4132: Axis e pjf do IceSword Lab da Qihoo 360
IOFireWireFamily
Disponível para: macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel
Descrição: foi resolvido um problema de corrupção de memória através do processamento melhorado da memória.
CVE-2018-4135: Xiaolong Bai e Min (Spark) Zheng da Alibaba Inc.
Kernel
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação maliciosa poderá conseguir executar um código arbitrário com privilégios do kernel
Descrição: foram resolvidos vários problemas de corrupção de memória através do processamento melhorado da memória.
CVE-2018-4150: investigador anónimo
Kernel
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir ler a memória restrita
Descrição: foi resolvido um problema de validação através da limpeza melhorada da entrada.
CVE-2018-4104: Centro Nacional de Cibersegurança do Reino Unido (NCSC)
Kernel
Disponível para: macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel
Descrição: foi resolvido um problema de corrupção de memória através do processamento melhorado da memória.
CVE-2018-4143: derrek (@derrekr6)
Kernel
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel
Descrição: foi resolvido um problema de leitura fora dos limites através da verificação melhorada dos limites.
CVE-2018-4136: Jonas Jensen da lgtm.com e Semmle
Kernel
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir executar um código arbitrário com privilégios do sistema
Descrição: foi resolvido um problema de leitura fora dos limites através da verificação melhorada dos limites.
CVE-2018-4160: Jonas Jensen da lgtm.com e Semmle
Kernel
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação maliciosa poderá conseguir determinar o esquema de memória do kernel
Descrição: existia um problema de divulgação de informações na transição do estado do programa. Este problema foi resolvido através do processamento melhorado do estado.
CVE-2018-4185: Brandon Azad
Entrada adicionada a 19 de julho de 2018
kext tools
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do sistema
Descrição: a existência de um problema de lógica originou a corrupção da memória. Este problema foi resolvido através da gestão melhorada do estado.
CVE-2018-4139: Ian Beer do Google Project Zero
LaunchServices
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação criada com intuito malicioso poderá ignorar a imposição da assinatura de código
Descrição: foi resolvido um problema de lógica através da validação melhorada.
CVE-2018-4175: Theodor Ragnar Gislason da Syndis
Autenticação local
Disponível para: macOS High Sierra 10.13.3
Impacto: um utilizador local poderá conseguir visualizar informações confidenciais de utilizadores
Descrição: ocorreu um problema no processamento do PIN de smartcards. Este problema foi resolvido através de lógica adicional.
CVE-2018-4179: David Fuhrmann
Entrada adicionada a 13 de abril de 2018
Disponível para: macOS High Sierra 10.13.3
Impacto: um atacante numa posição privilegiada da rede poderá conseguir exfiltrar os conteúdos de e-mails cifrados com S/MIME
Descrição: existia um problema no processamento de e-mails HTML com S/MIME. Este problema foi resolvido ao não carregar recursos remotos em mensagens cifradas com S/MIME por predefinição se a mensagem tiver uma assinatura S/MIME inválida ou em falta.
CVE-2018-4111: Damian Poddebniak da Universidade de Ciências Aplicadas de Münster, Christian Dresen da Universidade de Ciências Aplicadas de Münster, Jens Müller da Ruhr University Bochum, Fabian Ising da Universidade de Ciências Aplicadas de Münster, Sebastian Schinzel da Universidade de Ciências Aplicadas de Münster, Simon Friedberger da Universidade Católica de Lovaina, Juraj Somorovsky da Ruhr University Bochum, Jörg Schwenk da Ruhr University Bochum
Entrada atualizada a 13 de abril de 2018
Disponível para: macOS High Sierra 10.13.3
Impacto: um atacante numa posição privilegiada da rede poderá conseguir intercetar os conteúdos de e-mails cifrados com S/MIME
Descrição: foi resolvido um problema de inconsistência na interface de utilizador através da gestão melhorada do estado.
CVE-2018-4174: John McCombs da Integrated Mapping Ltd, McClain Looney da LoonSoft Inc.
Entrada atualizada a 13 de abril de 2018
Notas
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4152: Samuel Groß (@5aelo)
NSURLSession
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4166: Samuel Groß (@5aelo)
Controladores de gráficos NVIDIA
Disponível para: macOS High Sierra 10.13.3
Impacto: uma app poderá conseguir ler a memória restrita
Descrição: foi resolvido um problema de validação através da limpeza melhorada da entrada.
CVE-2018-4138: Axis e pjf do IceSword Lab da Qihoo 360
PDFKit
Disponível para: macOS High Sierra 10.13.3
Impacto: ao clicar num URL num PDF, poderá aceder a um site malicioso
Descrição: existia um problema na análise de URL em ficheiros PDF. Este problema foi resolvido através da validação melhorada da entrada.
CVE-2018-4107: Nick Safford da Innovia Technology
Entrada atualizada a 9 de abril de 2018
PluginKit
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4156: Samuel Groß (@5aelo)
Vista rápida
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4157: Samuel Groß (@5aelo)
Gestão remota
Disponível para: macOS High Sierra 10.13.3
Impacto: um utilizador remoto poderá conseguir obter privilégios de raiz
Descrição: existia um problema nas permissões da Gestão remota. Este problema foi resolvido através da validação melhorada das permissões.
CVE‑2018‑4298: Tim van der Werff da SupCloud
Entrada adicionada a 19 de julho de 2018
Segurança
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação maliciosa poderá conseguir aumentar os privilégios
Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer com a validação melhorada do tamanho.
CVE-2018-4144: Abraham Masri (@cheesecakeufo)
SIP
Disponível para: OS X El Capitan 10.11.6 e macOS Sierra 10.12.6
Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel
Descrição: foi resolvido um problema de configuração através de restrições adicionais.
CVE-2017-13911: um investigador anónimo
Entrada adicionada a 8 de agosto de 2018
Barra de estado
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação maliciosa poderá conseguir aceder ao microfone sem que o utilizador receba qualquer aviso
Descrição: existia um problema de consistência na decisão sobre quando mostrar o indicador de utilização do microfone. Este problema foi resolvido com a validação melhorada da capacidade.
CVE-2018-4173: Joshua Pokotilow da pingmd
Entrada adicionada a 9 de abril de 2018
Armazenamento
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: uma aplicação poderá conseguir obter privilégios elevados
Descrição: foi resolvida uma condição de disputa através de validação adicional.
CVE-2018-4154: Samuel Groß (@5aelo)
Preferências do sistema
Disponível para: macOS High Sierra 10.13.3
Impacto: um perfil de configuração pode permanecer em vigor indevidamente após a remoção
Descrição: existia um problema na CFPreferences. Este problema foi resolvido através de uma melhoria na limpeza das preferências.
CVE-2018-4115: Johann Thalakada, Vladimir Zubkov e Matt Vlasach da Wandera
Terminal
Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.3
Impacto: colar conteúdos maliciosos poderá provocar a falsificação da execução de um comando arbitrário
Descrição: existia um problema de injeção de comandos no processamento do Bracketed Paste Mode. Este problema foi resolvido através da validação melhorada de caracteres especiais.
CVE-2018-4106: Simon Hosie
WindowServer
Disponível para: macOS High Sierra 10.13.3
Impacto: uma aplicação sem privilégios poderá conseguir registar combinações de teclas inseridas noutras aplicações, mesmo com o modo de entrada seguro ativado
Descrição: ao ler os estados das teclas, uma aplicação sem privilégios pode registar combinações de teclas inseridas noutras aplicações, mesmo com o modo de entrada seguro ativado. Este problema foi resolvido através da gestão melhorada do estado.
CVE-2018-4131: Andreas Hegenberg da folivora.AI GmbH
Agradecimentos adicionais
Gostaríamos de agradecer a Sabri Haddouche (@pwnsdx) da Wire Swiss GmbH pela sua colaboração.
Entrada adicionada a 21 de junho de 2018
Segurança
Gostaríamos de agradecer a Abraham Masri (@cheesecakeufo) pela sua colaboração.
Entrada adicionada a 13 de abril de 2018