Acerca dos conteúdos de segurança do macOS Sonoma 14

Este documento descreve os conteúdos de segurança do macOS Sonoma 14.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.

macOS Sonoma 14

Data de lançamento: 26 de setembro de 2023

AirPort

Disponível para: Mac Studio (2022 e posterior), iMac (2019 e posterior), Mac Pro (2019 e posterior), Mac mini (2018 e posterior), MacBook Air (2018 e posterior), MacBook Pro (2018 e posterior) e iMac Pro (2017)

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: um problema de permissões foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2023-40384: Adam M.

AMD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema de ultrapassagem do limite máximo do buffer através do processamento melhorado da memória.

CVE-2023-32377: ABC Research s.r.o.

AMD

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-38615: ABC Research s.r.o.

App Store

Impacto: um atacante remoto poderá conseguir infringir a sandbox de conteúdos web

Descrição: o problema foi resolvido através do processamento melhorado de protocolos.

CVE-2023-40448: w0wbox

Apple Neural Engine

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40432: Mohamed GHANNAM (@_simo36)

CVE-2023-42871: Mohamed GHANNAM (@_simo36)

Entrada atualizada a 22 de dezembro de 2023

Apple Neural Engine

Impacto: uma app poderá conseguir divulgar a memória do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40399: Mohamed GHANNAM (@_simo36)

Apple Neural Engine

Impacto: uma app poderá conseguir divulgar a memória do kernel

Descrição: foi resolvido um problema de leitura fora dos limites através da validação melhorada da entrada.

CVE-2023-40410: Tim Michaud (@TimGMichaud) da Moveworks.ai

AppleMobileFileIntegrity

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: o problema foi resolvido através de verificações de permissões adicionais.

CVE-2023-42872: Mickey Jin (@patch1t)

Entrada adicionada a 22 de dezembro de 2023

AppSandbox

Impacto: uma app poderá conseguir aceder a dados do utilizador protegidos

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-42929: Mickey Jin (@patch1t)

Entrada adicionada a 22 de dezembro de 2023

AppSandbox

Impacto: uma app poderá conseguir aceder aos anexos da app Notas

Descrição: o problema foi resolvido através da restrição melhorada do acesso ao contentor de dados.

CVE-2023-42925: Wojciech Reguła (@_r3ggi) e Kirin (@Pwnrin)

Entrada adicionada a 16 de julho de 2024

Ask to Buy

Impacto: uma app poderá conseguir aceder a dados do utilizador protegidos

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-38612: Chris Ross (Zoom)

Entrada adicionada a 22 de dezembro de 2023

AuthKit

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: o problema foi resolvido através do processamento melhorado de caches.

CVE-2023-32361: Csaba Fitzl (@theevilbit) da Offensive Security

Bluetooth

Impacto: um atacante em proximidade física poderá causar uma escrita limitada fora dos limites

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-35984: zer0k

Bluetooth

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-40402: Yiğit Can YILMAZ (@yilmazcanyigit)

Bluetooth

Impacto: uma app poderá conseguir contornar determinadas preferências de privacidade

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-40426: Yiğit Can YILMAZ (@yilmazcanyigit)

BOM

Impacto: o processamento de um ficheiro poderá provocar uma recusa de serviço ou potencialmente divulgar conteúdo da memória

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2023-42876: Koh M. Nakagawa (@tsunek0h)

Entrada adicionada a 22 de dezembro de 2023

bootp

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2023-41065: Adam M. e Noah Roskin-Frazee e Professor Jason Lau (ZeroClicks.ai Lab)

Calendar

Impacto: uma app poderá conseguir aceder a dados do calendário guardados num diretório temporário

Descrição: foi resolvido um problema de privacidade através do processamento melhorado de ficheiros temporários.

CVE-2023-29497: Kirin (@Pwnrin) e Yishu Wang

CFNetwork

Impacto: uma app poderá não conseguir aplicar a App Transport Security

Descrição: o problema foi resolvido através do processamento melhorado de protocolos.

CVE-2023-38596: Will Brattain da Trail of Bits

Clock

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2023-42943: Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Roménia

Entrada adicionada a 16 de julho de 2024

ColorSync

Impacto: uma app poderá conseguir ler ficheiros arbitrários

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-40406: JeongOhKyea da Theori

CoreAnimation

Impacto: o processamento de conteúdos web pode resultar numa recusa de serviço

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40420: 이준성(Junsung Lee) do Cross Republic

Core Data

Impacto: uma app poderá conseguir contornar as preferências de privacidade

Descrição: este problema foi resolvido através da remoção de código vulnerável.

CVE-2023-40528: Kirin (@Pwnrin) da NorthSea

Entrada adicionada a 22 de janeiro de 2024

Core Image

Impacto: uma app poderá conseguir aceder a fotografias editadas guardadas num diretório temporário

Descrição: foi resolvido um problema através do processamento melhorado de ficheiros temporários.

CVE-2023-40438: Wojciech Regula da SecuRing (wojciechregula.blog)

Entrada adicionada a 22 de dezembro de 2023

CoreMedia

Impacto: uma extensão de câmara pode continuar a aceder à vista da câmara a partir de apps que não a app que tinha a permissão concedida

Descrição: foi resolvido um problema de lógica através de verificações melhoradas

CVE-2023-41994: Halle Winkler, Politepix @hallewinkler

Entrada adicionada a 22 de dezembro de 2023

CUPS

Impacto: um atacante remoto poderá conseguir causar uma recusa de serviço

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2023-40407: Sei K.

Dev Tools

Impacto: uma app poderá conseguir obter privilégios elevados

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2023-32396: Mickey Jin (@patch1t)

CVE-2023-42933: Mickey Jin (@patch1t)

Entrada atualizada a 22 de dezembro de 2023

FileProvider

Impacto: uma app poderá conseguir contornar as preferências de privacidade

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-41980: Noah Roskin-Frazee e Professor Jason Lau (ZeroClicks.ai Lab)

FileProvider

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através da proteção de dados melhorada.

CVE-2023-40411: Noah Roskin-Frazee e Prof. J. (ZeroClicks.ai Lab) e Csaba Fitzl (@theevilbit) da Offensive Security

Entrada adicionada a 22 de dezembro de 2023

Game Center

Impacto: uma app poderá conseguir aceder aos contactos

Descrição: o problema foi resolvido através do processamento melhorado de caches.

CVE-2023-40395: Csaba Fitzl (@theevilbit) da Offensive Security

GPU Drivers

Impacto: uma app poderá conseguir divulgar a memória do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40391: Antonio Zekic (@antoniozekic) da Dataflow Security

GPU Drivers

Impacto: o processamento de conteúdos web pode resultar numa recusa de serviço

Descrição: foi resolvido um problema de esgotamento de recursos através da validação melhorada da entrada.

CVE-2023-40441: Ron Masas da Imperva

Graphics Drivers

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvida uma condição de disputa através do processamento melhorado do estado.

CVE-2023-42959: Murray Mike

Entrada adicionada a 16 de julho de 2024

iCloud

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: um problema de permissões foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2023-23495: Csaba Fitzl (@theevilbit) da Offensive Security

iCloud Photo Library

Impacto: uma app poderá conseguir aceder à Fototeca de um utilizador

Descrição: foi resolvido um problema de configuração com restrições adicionais.

CVE-2023-40434: Mikko Kenttälä (@Turmio_) da SensorFu

Image Capture

Impacto: um processo na sandbox poderá ser capaz de contornar as restrições da sandbox

Descrição: foi resolvido um problema de acesso através de restrições adicionais da sandbox.

CVE-2023-38586: Yiğit Can YILMAZ (@yilmazcanyigit)

IOAcceleratorFamily

Impacto: um atacante poderá conseguir provocar um encerramento inesperado do sistema ou ler a memória do kernel

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2023-40436: Murray Mike

IOUserEthernet

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40396: Certik Skyfall Team

Entrada adicionada a 16 de julho de 2024

Kernel

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2023-41995: Certik Skyfall Team e pattern-f (@pattern_F_) do Ant Security Light-Year Lab

CVE-2023-42870: Zweig do Kunlun Lab

Entrada atualizada a 22 de dezembro de 2023

Kernel

Impacto: um atacante que já executou código do kernel poderá conseguir contornar as mitigações da memória do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-41981: Linus Henze da Pinauten GmbH (pinauten.de)

Kernel

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-41984: Pan ZhenPeng (@Peterpan0927) da STAR Labs SG Pte. Ltd.

Kernel

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: foi resolvido um problema de permissões através da validação melhorada.

CVE-2023-40429: Michael (Biscuit) Thomas e 张师傅 (@京东蓝军)

Kernel

Impacto: um utilizador remoto poderá conseguir provocar a execução de um código de kernel

Descrição: foi resolvido um problema de confusão de tipos através de verificações melhoradas.

CVE-2023-41060: Joseph Ravichandran (@0xjprx) da MIT CSAIL

Entrada adicionada a 22 de dezembro de 2023

LaunchServices

Impacto: uma app poderá ignorar as verificações do Gatekeeper

Descrição: foi resolvido um problema de lógica através de verificações melhoradas.

CVE-2023-41067: Ferdous Saljooki (@malwarezoo) da Jamf Software e um investigador anónimo

libpcap

Impacto: um utilizador remoto poderá provocar o encerramento inesperado da app ou a execução de um código arbitrário

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2023-40400: Sei K.

libxpc

Impacto: uma app poderá conseguir apagar ficheiros para os quais não tem permissão

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-40454: Zhipeng Huo (@R3dF09) do Tencent Security Xuanwu Lab (xlab.tencent.com)

libxpc

Impacto: uma app poderá conseguir aceder a dados do utilizador protegidos

Descrição: foi resolvido um problema de autorização através da gestão melhorada do estado.

CVE-2023-41073: Zhipeng Huo (@R3dF09) do Tencent Security Xuanwu Lab (xlab.tencent.com)

libxslt

Impacto: o processamento de conteúdos web poderá divulgar informações confidenciais

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40403: Dohyun Lee (@l33d0hyun) da PK Security

Maps

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: o problema foi resolvido através do processamento melhorado de caches.

CVE-2023-40427: Adam M. e Wojciech Regula da SecuRing (wojciechregula.blog)

Maps

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-42957: Adam M. e Ron Masas da BreakPoint Security Research

Entrada adicionada a 16 de julho de 2024

Messages

Impacto: uma app poderá conseguir observar dados do utilizador não protegidos

Descrição: foi resolvido um problema de privacidade através do processamento melhorado de ficheiros temporários.

CVE-2023-32421: Meng Zhang (鲸落) da NorthSea, Ron Masas da BreakPoint Security Research, Brian McNulty e Kishan Bagaria do Texts.com

Model I/O

Impacto: o processamento de um ficheiro poderá provocar a execução de um código arbitrário

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-42826: Michael DePlante (@izobashi) do programa Zero Day Initiative da Trend Micro

Entrada adicionada a 19 de outubro de 2023

Model I/O

Impacto: um processo na sandbox poderá ser capaz de contornar as restrições da sandbox

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-42918: Mickey Jin (@patch1t)

Entrada adicionada a 16 de julho de 2024

Music

Impacto: uma app poderá conseguir modificar partes protegidas do sistema de ficheiros

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-41986: Gergely Kalman (@gergely_kalman)

NetFSFramework

Impacto: um processo na sandbox poderá ser capaz de contornar as restrições da sandbox

Descrição: foi resolvido um problema de permissões com restrições adicionais.

CVE-2023-40455: Zhipeng Huo (@R3dF09) do Tencent Security Xuanwu Lab (xlab.tencent.com)

Notes

Impacto: uma app poderá conseguir aceder aos anexos da app Notas

Descrição: foi resolvido um problema de privacidade através do processamento melhorado de ficheiros temporários.

CVE-2023-40386: Kirin (@Pwnrin)

OpenSSH

Impacto: uma vulnerabilidade foi detetada no reencaminhamento remoto de OpenSSHs

Descrição: este problema foi resolvido através da atualização de OpenSSH para 9.3p2

CVE-2023-38408: baba yaga, investigador anónimo

Entrada adicionada a 22 de dezembro de 2023

Passkeys

Impacto: um atacante pode conseguir aceder a chaves de acesso sem autenticação

Descrição: o problema foi resolvido através de verificações de permissões adicionais.

CVE-2023-40401: weize she e um investigador anónimo

Entrada adicionada a 22 de dezembro de 2023

Photos

Impacto: as fotografias do álbum de fotografias Oculto poderão ser vistas sem autenticação

Descrição: foi resolvido um problema de autenticação através da gestão melhorada do estado.

CVE-2023-40393: um investigador anónimo, Berke Kırbaş e Harsh Jaiswal

Entrada adicionada a 22 de dezembro de 2023

Photos

Impacto: uma app poderá conseguir aceder a fotografias editadas guardadas num diretório temporário

Descrição: este problema foi resolvido através da proteção de dados melhorada.

CVE-2023-42949: Kirin (@Pwnrin)

Entrada adicionada a 16 de julho de 2024

Photos Storage

Impacto: uma app com privilégios de raiz poderá conseguir aceder a informações privadas

Descrição: foi resolvido um problema de divulgação de informações através da remoção do código vulnerável.

CVE-2023-42934: Wojciech Regula da SecuRing (wojciechregula.blog)

Entrada adicionada a 22 de dezembro de 2023

Power Management

Impacto: um utilizador poderá conseguir ver conteúdos restritos a partir do ecrã bloqueado

Descrição: foi resolvido um problema no ecrã bloqueado através da gestão melhorada do estado.

CVE-2023-37448: Serkan Erayabakan, David Kotval, Akincibor, Sina Ahmadi da Universidade George Mason e Billy Tabrizi

Entrada atualizada a 22 de dezembro de 2023

Printing

Impacto: uma app poderá conseguir modificar as definições da impressora

Descrição: o problema foi resolvido através do processamento melhorado de caches.

CVE-2023-38607: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada adicionada a 22 de dezembro de 2023

Printing

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2023-41987: Kirin (@Pwnrin) e Wojciech Regula da SecuRing (wojciechregula.blog)

Entrada adicionada a 22 de dezembro de 2023

Pro Res

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-41063: Certik Skyfall Team

QuartzCore

Impacto: uma app poderá causar uma recusa de serviço

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-40422: Tomi Tokics (@tomitokics) do iTomsn0w

Safari

Impacto: o processamento de conteúdos web poderá divulgar informações confidenciais

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-39233: Luan Herrera (@lbherrera_)

Safari

Impacto: o Safari poderá guardar fotografias numa localização não protegida

Descrição: foi resolvido um problema de privacidade através do processamento melhorado de ficheiros temporários.

CVE-2023-40388: Kirin (@Pwnrin)

Safari

Impacto: uma app poderá conseguir identificar que outras apps foram instaladas por um utilizador

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-35990: Adriatik Raci da Sentry Cybersecurity

Safari

Impacto: visitar um site que cria fotogramas de conteúdo malicioso poderá provocar a falsificação da IU

Descrição: foi resolvido um problema de gestão de janelas através da gestão melhorada do estado.

CVE-2023-40417: Narendra Bhati (twitter.com/imnarendrabhati) da Suma Soft Pvt. Ltd, Pune (Índia)

Entrada atualizada a 22 de dezembro de 2023

Sandbox

Impacto: uma app poderá conseguir substituir ficheiros arbitrários

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2023-40452: Yiğit Can YILMAZ (@yilmazcanyigit)

Sandbox

Impacto: uma app poderá conseguir aceder a volumes amovíveis sem o consentimento do utilizador

Descrição: foi resolvido um problema de lógica através de verificações melhoradas.

CVE-2023-40430: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada adicionada a 22 de dezembro de 2023

Sandbox

Impacto: as apps que falham as verificações podem continuar a abrir

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-41996: Mickey Jin (@patch1t) e Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada adicionada a 22 de dezembro de 2023

Screen Sharing

Impacto: uma app poderá conseguir contornar determinadas preferências de privacidade

Descrição: foi resolvido um problema de autorização através da gestão melhorada do estado.

CVE-2023-41078: Zhipeng Huo (@R3dF09) do Tencent Security Xuanwu Lab (xlab.tencent.com)

Share Sheet

Impacto: uma app poderá conseguir aceder a dados confidenciais registados quando um utilizador partilha uma ligação

Descrição: foi resolvido um problema de lógica através de verificações melhoradas.

CVE-2023-41070: Kirin (@Pwnrin)

Shortcuts

Impacto: um atalho poderá apresentar dados confidenciais do utilizador sem consentimento

Descrição: este problema foi resolvido através da adição de um pedido adicional de consentimento do utilizador.

CVE-2023-40541: Noah Roskin-Frazee (ZeroClicks.ai Lab) e James Duffy (mangoSecure)

Shortcuts

Impacto: uma app poderá conseguir contornar as preferências de privacidade

Descrição: o problema foi resolvido através da lógica melhorada de permissões.

CVE-2023-41079: Ron Masas do BreakPoint.sh e um investigador anónimo

Spotlight

Impacto: uma app poderá conseguir obter privilégios de raiz

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-40443: Gergely Kalman (@gergely_kalman)

Entrada adicionada a 22 de dezembro de 2023

StorageKit

Impacto: uma app poderá conseguir ler ficheiros arbitrários

Descrição: este problema foi resolvido através da validação melhorada de ligações simbólicas.

CVE-2023-41968: Mickey Jin (@patch1t) e James Hutchins

System Preferences

Impacto: uma app poderá ignorar as verificações do Gatekeeper

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-40450: Thijs Alkemade (@xnyhps) da Computest Sector 7

System Settings

Impacto: uma palavra-passe de Wi-Fi poderá não ser apagada quando ativar um Mac na Recuperação do macOS

Descrição: este problema foi resolvido através da gestão melhorada do estado.

CVE-2023-42948: Andrew Haggard

Entrada adicionada a 16 de julho de 2024

TCC

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-40424: Arsenii Kostromin (0x3c3e), Joshua Jewett (@JoshJewett33) e Csaba Fitzl (@theevilbit) da Offensive Security

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

WebKit Bugzilla: 249451

CVE-2023-39434: Francisco Alonso (@revskills) e Dohyun Lee (@l33d0hyun) da PK Security

WebKit Bugzilla: 258992

CVE-2023-40414: Francisco Alonso (@revskills)

Entrada atualizada a 22 de dezembro de 2023

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário

Descrição: o problema foi resolvido através de verificações melhoradas.

WebKit Bugzilla: 256551

CVE-2023-41074: 이준성(Junsung Lee) do Cross Republic e Jie Ding(@Lime) do HKUS3 Lab

Entrada atualizada a 22 de dezembro de 2023

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário

Descrição: o problema foi resolvido através do processamento da memória melhorado.

WebKit Bugzilla: 239758

CVE-2023-35074: Ajou University Abysslab Dong Jun Kim(@smlijun) e Jong Seong Kim(@nevul37)

Entrada atualizada a 22 de dezembro de 2023

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário. A Apple tem conhecimento de uma denúncia de que este problema pode ter sido explorado ativamente contra versões do iOS anteriores ao iOS 16.7.

Descrição: o problema foi resolvido através de verificações melhoradas.

WebKit Bugzilla: 261544

CVE-2023-41993: Bill Marczak do The Citizen Lab da Munk School, da Universidade de Toronto e Maddie Stone do Threat Analysis Group da Google

WebKit

Impacto: a palavra-passe de um utilizador poderá ser lida em voz alta pelo VoiceOver

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

WebKit Bugzilla: 248717

CVE-2023-32359: Claire Houston

Entrada adicionada a 22 de dezembro de 2023

WebKit

Impacto: um atacante remoto poderá conseguir ver as consultas DNS expostas com o Reencaminhamento privado ativado

Descrição: este problema foi resolvido através da remoção de código vulnerável.

WebKit Bugzilla: 257303

CVE-2023-40385: anónimo

Entrada adicionada a 22 de dezembro de 2023

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema de correção através de verificações melhoradas.

WebKit Bugzilla: 258592

CVE-2023-42833: Dong Jun Kim (@smlijun) e Jong Seong Kim (@nevul37) do AbyssLab

Entrada adicionada a 22 de dezembro de 2023

Wi-Fi

Impacto: uma app poderá conseguir provocar um encerramento inesperado do sistema ou escrever na memória do kernel

Descrição: foi resolvido um problema de corrupção de memória através da remoção do código vulnerável.

CVE-2023-38610: Wang Yu da Cyberserval

Entrada adicionada a 22 de dezembro de 2023

Windows Server

Impacto: uma app poderá conseguir divulgar inesperadamente as credenciais de um utilizador a partir de campos de texto seguros

Descrição: foi resolvido um problema de autenticação através da gestão melhorada do estado.

CVE-2023-41066: um investigador anónimo, Jeremy Legendre da MacEnhance e Felix Kratz

Entrada atualizada a 22 de dezembro de 2023

XProtectFramework

Impacto: uma app poderá conseguir modificar partes protegidas do sistema de ficheiros

Descrição: foi resolvida uma condição de disputa através do bloqueio melhorado.

CVE-2023-41979: Koh M. Nakagawa (@tsunek0h)

Agradecimentos adicionais

Airport

Gostaríamos de agradecer a Adam M., a Noah Roskin-Frazee e ao Professor Jason Lau (ZeroClicks.ai Lab) pela sua colaboração.

AppKit

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.

Apple Neural Engine

Gostaríamos de agradecer a pattern-f (@pattern_F_) do Ant Security Light-Year Lab pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

AppSandbox

Gostaríamos de agradecer a Kirin (@Pwnrin) pela sua colaboração.

Archive Utility

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela sua colaboração.

Audio

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela sua colaboração.

Bluetooth

Gostaríamos de agradecer a Jianjun Dai e Guang Gong do 360 Vulnerability Research Institute pela sua colaboração.

Books

Gostaríamos de agradecer a Aapo Oksman da Nixu Cybersecurity pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

Control Center

Os nossos agradecimentos a Yiğit Can YILMAZ (@yilmazcanyigit) pela sua ajuda.

Entrada adicionada a 22 de dezembro de 2023

Core Location

Gostaríamos de agradecer a Wouter Hennen pela sua colaboração.

CoreMedia Playback

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela sua colaboração.

CoreServices

Gostaríamos de agradecer a Thijs Alkemade da Computest Sector 7, Wojciech Reguła (@_r3ggi) da SecuRing e um investigador anónimo pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

Data Detectors UI

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College Of Technology Bhopal pela sua colaboração.

Find My

Gostaríamos de agradecer a Cher Scarlett pela sua colaboração.

Home

Gostaríamos de agradecer a Jake Derouin (jakederouin.com) pela sua colaboração.

IOGraphics

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.

IOUserEthernet

Gostaríamos de agradecer a Certik Skyfall Team pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

Kernel

Gostaríamos de agradecer a Bill Marczak do The Citizen Lab da Escola Munk da Universidade de Toronto, Maddie Stone do Threat Analysis Group da Google, Xinru Chi do Pangu Lab e 永超王 pela sua colaboração.

libxml2

Gostaríamos de agradecer a OSS-Fuzz, Ned Williamson do Google Project Zero pela sua colaboração.

libxpc

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.

libxslt

Gostaríamos de agradecer a Dohyun Lee (@l33d0hyun) da PK Security, OSS-Fuzz e Ned Williamson do Google Project Zero pela sua colaboração.

Mail

Gostaríamos de agradecer a Taavi Eomäe da Zone Media OÜ pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

Menus

Gostaríamos de agradecer a Matthew Denton da Google Chrome Security pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

NSURL

Gostaríamos de agradecer a Zhanpeng Zhao (行之) e 糖豆爸爸 (@晴天组织) pela sua colaboração.

PackageKit

Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Offensive Security, um investigador anónimo, pela sua colaboração.

Photos

Gostaríamos de agradecer a Anatolii Kozlov, Dawid Pałuska, Lyndon Cornelius e Paul Lurin pela sua colaboração.

Entrada atualizada a 16 de julho de 2024

Power Services

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela sua colaboração.

Entrada adicionada a 22 de dezembro de 2023

Reminders

Gostaríamos de agradecer a Paweł Szafirowski pela sua colaboração.

Safari

Gostaríamos de agradecer a Kang Ali da Punggawa Cyber Security pela sua colaboração.

Sandbox

Os nossos agradecimentos a Yiğit Can YILMAZ (@yilmazcanyigit) pela sua ajuda.

SharedFileList

Gostaríamos de agradecer a Christopher Lopez - @L0Psec e Kandji, Leo Pitt da Zoom Video Communications, Masahiro Kawada (@kawakatz) da GMO Cybersecurity by Ierae e Ross Bingham (@PwnDexter) pela sua colaboração.

Entrada atualizada a 22 de dezembro de 2023

Shortcuts

Gostaríamos de agradecer a Alfie CG, Christian Basting do Bundesamt für Sicherheit in der Informationstechnik, Cristian Dinca do National High School of Computer Science “Tudor Vianu”, na Roménia, Giorgos Christodoulidis, Jubaer Alnazi do TRS Group Of Companies, KRISHAN KANT DWIVEDI (@xenonx7) e Matthew Butler pela sua colaboração.

Entrada atualizada a 24 de abril de 2024

Software Update

Gostaríamos de agradecer a Omar Siman pela sua colaboração.

Spotlight

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College Of Technology Bhopal e Dawid Pałuska pela sua colaboração.

StorageKit

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela sua colaboração.

Video Apps

Gostaríamos de agradecer a James Duffy (mangoSecure) pela sua colaboração.

WebKit

Gostaríamos de agradecer a Khiem Tran e Narendra Bhati da Suma Soft Pvt. Ltd, Pune (Índia) e um investigador anónimo pela sua colaboração.

WebRTC

Gostaríamos de agradecer a um investigador anónimo pela sua colaboração.

Wi-Fi

Gostaríamos de agradecer a Adam M. e Wang Yu da Cyberserval pela sua colaboração.

Entrada atualizada a 22 de dezembro de 2023

As informações sobre os produtos não fabricados pela Apple ou os sites independentes não controlados ou testados pela Apple são disponibilizadas sem recomendações nem aprovação. A Apple não assume qualquer responsabilidade no que diz respeito à seleção, ao desempenho ou à utilização dos sites ou produtos de terceiros. A Apple não garante a precisão nem a fiabilidade dos sites de terceiros. Contacte o fornecedor para obter mais informações.

Data de publicação: 19 de agosto de 2024