Despre conținutul de securitate din macOS Big Sur 11.5

Acest document descrie conținutul de securitate din macOS Big Sur 11.5.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.

macOS Big Sur 11.5

AMD Kernel

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o problemă de alterare a memoriei prin îmbunătățirea validării intrării.

CVE-2021-30805: ABC Research s.r.o

Analytics

Disponibilitate pentru: macOS Big Sur

Impact: un atacator local poate accesa date analitice

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea restricțiilor.

CVE-2021-30871: Denis Tokarev (@illusionofcha0s)

AppKit

Disponibilitate pentru: macOS Big Sur

Impact: deschiderea unui fișier creat cu rea intenție poate duce la închiderea neașteptată a aplicației sau la executarea unui cod aleatoriu

Descriere: o problemă de divulgare a informațiilor a fost rezolvată prin eliminarea codului vulnerabil.

CVE-2021-30790: hjy79425575 în colaborare cu Zero Day Initiative (Trend Micro)

App Store

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca o aplicație rău intenționată să poată ocoli anumite restricții de confidențialitate

Descriere: a fost rezolvată o problemă de permisiune prin îmbunătățirea validării.

CVE-2021-31006: Csaba Fitzl (@theevilbit) (Offensive Security)

Audio

Disponibilitate pentru: macOS Big Sur

Impact: un atacator local poate cauza închiderea neașteptată a aplicației sau executarea unui cod arbitrar

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30781: tr3e

AVEVideoEncoder

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2021-30748: George Nosenko

CoreAudio

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier audio creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: o problemă de alterare a memoriei a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2021-30775: JunDong Xie (Ant Security Light-Year Lab)

CoreAudio

Disponibilitate pentru: macOS Big Sur

Impact: redarea un fișier audio modificat cu rea intenție poate cauza terminarea neașteptată a aplicației

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea validării.

CVE-2021-30776: JunDong Xie (Ant Security Light-Year Lab)

CoreGraphics

Disponibilitate pentru: macOS Big Sur

Impact: deschiderea unui fișier PDF creat cu rea intenție poate duce la închiderea neașteptată a aplicației sau la executarea unui cod aleatoriu

Descriere: a fost tratată o problemă de cursă prin îmbunătățirea tratării stării.

CVE-2021-30786: ryuzaki

CoreServices

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate să obțină privilegii de rădăcină

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30772: Zhongcheng Li (CK01)

CoreServices

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca un proces din sandbox să poată ocoli restricțiile sandboxului

Descriere: o problemă de acces a fost rezolvată prin restricții suplimentare pentru acces.

CVE-2021-30783: Ron Waisberg (@epsilan)

CoreStorage

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate să obțină privilegii de rădăcină

Descriere: o problemă de injectare a fost rezolvată prin îmbunătățirea validării.

CVE-2021-30777: Tim Michaud (@TimGMichaud) (Zoom Video Communications) și Gary Nield (ECSC Group plc)

CoreText

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier de font creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o citire în afara limitelor prin îmbunătățirea validării intrării.

CVE-2021-30789: Mickey Jin (@patch1t) (Trend Micro), Sunglin (echipa Knownsec 404)

Crash Reporter

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate să obțină privilegii de rădăcină

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea validării.

CVE-2021-30774: Yizhuo Wang (Group of Software Security In Progress (G.O.S.S.I.P) din cadrul Universității Shanghai Jiao Tong)

CVMS

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate să obțină privilegii de rădăcină

Descriere: a fost rezolvată o problemă de scriere în afara limitelor prin îmbunătățirea verificării limitelor.

CVE-2021-30780: Tim Michaud (@TimGMichaud) (Zoom Video Communications)

dyld

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca un proces din sandbox să poată ocoli restricțiile sandboxului

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea validării.

CVE-2021-30768: Linus Henze (pinauten.de)

Family Sharing

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate accesa date despre conturile cu care utilizatorul folosește serviciul Partajare familială

Descriere: a fost rezolvată o problemă de permisiune prin îmbunătățirea validării.

CVE-2021-30817: Csaba Fitzl (@theevilbit) (Offensive Security)

Find My

Disponibilitate pentru: macOS Big Sur

Impact: O aplicație rău intenționată poate accesa date din aplicația Găsire

Descriere: a fost rezolvată o problemă de permisiune prin îmbunătățirea validării.

CVE-2021-30804: Csaba Fitzl (@theevilbit) de la Offensive Security, Wojciech Reguła (@_r3ggi) de la SecuRing

FontParser

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier de font creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o depășire de întreg prin îmbunătățirea validării intrării.

CVE-2021-30760: Sunglin (echipa Knownsec 404)

FontParser

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier .tiff creat cu rea intenție ar putea provoca un refuz al serviciului sau ar putea dezvălui conținutul memoriei

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30788: tr3e în colaborare cu Zero Day Initiative (Trend Micro)

FontParser

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier de font creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de depășire a stivei alocate prin îmbunătățirea validării intrării.

CVE-2021-30759: hjy79425575 în colaborare cu Zero Day Initiative (Trend Micro)

Identity Services

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate accesa contactele recente ale unui utilizator

Descriere: a fost rezolvată o problemă de permisiune prin îmbunătățirea validării.

CVE-2021-30803: Matt Shockley (twitter.com/mattshockl), Csaba Fitzl (@theevilbit) (Offensive Security)

ImageIO

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unei imagini create cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30779: Jzhu, Ye Zhang(@co0py_Cat) (Baidu Security)

ImageIO

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unei imagini create cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: o problemă de depășire a memoriei-tampon a fost rezolvată prin îmbunătățirea verificării limitelor.

CVE-2021-30785: CFF (Topsec Alpha Team), Mickey Jin (@patch1t) (Trend Micro)

Intel Graphics Driver

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație poate duce la închiderea neașteptată a sistemului sau poate scrie memoria kernel

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30787: anonim, în colaborare cu Zero Day Initiative (Trend Micro)

Intel Graphics Driver

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o scriere în afara limitelor prin îmbunătățirea validării intrării.

CVE-2021-30766: Liu Long (Ant Security Light-Year Lab)

CVE-2021-30765: Yinyi Wu (@3ndy1) (Qihoo 360 Vulcan Team), Liu Long (Ant Security Light-Year Lab)

IOKit

Disponibilitate pentru: macOS Big Sur

Impact: un atacator local ar putea executa cod pe cipul de securitate Apple T2

Descriere: mai multe probleme au fost rezolvate prin îmbunătățirea logicii.

CVE-2021-30784: George Nosenko

Kernel

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație poate executa un cod arbitrar cu privilegii de kernel

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2021-30793: Zuozhi Fan (@pattern_F_) (Ant Security TianQiong Lab)

Kext Management

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca o aplicație rău intenționată să poată ocoli preferințele de confidențialitate

Descriere: această problemă a fost rezolvată prin îmbunătățirea drepturilor.

CVE-2021-30778: Csaba Fitzl (@theevilbit) (Offensive Security)

LaunchServices

Disponibilitate pentru: macOS Big Sur

Impact: o aplicație rău intenționată poate evada din sandbox

Descriere: această problemă a fost rezolvată printr-o igienizare îmbunătățită a mediului.

CVE-2021-30677: Ron Waisberg (@epsilan)

libxml2

Disponibilitate pentru: macOS Big Sur

Impact: un atacator de la distanță poate cauza executarea unui cod arbitrar

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-3518

Model I/O

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unei imagini create cu rea intenție poate cauza o refuzare a serviciului (DoS)

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea validării.

CVE-2021-30796: Mickey Jin (@patch1t) (Trend Micro)

Model I/O

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unei imagini create cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o scriere în afara limitelor prin îmbunătățirea validării intrării.

CVE-2021-30792: anonim, în colaborare cu inițiativa Zero Day de la Trend Micro

Model I/O

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui fișier creat cu rea intenție poate divulga informații ale utilizatorului

Descriere: a fost rezolvată o problemă de citire în afara limitelor prin îmbunătățirea verificării limitelor.

CVE-2021-30791: anonim, în colaborare cu inițiativa Zero Day de la Trend Micro

Networking

Disponibilitate pentru: macOS Big Sur

Impact: accesarea unei pagini web create cu rea intenție poate duce la un refuz al serviciului la nivelul sistemului

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2021-1821: Georgi Valkov (httpstorm.com)

Sandbox

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca o aplicație rău-intenționată să poată accesa fișierele restricționate

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30782: Csaba Fitzl (@theevilbit) (Offensive Security)

Securitate

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca o aplicație să obțină privilegii de nivel ridicat

Descriere: a fost rezolvată o condiție de rulare prin îmbunătățirea blocării.

CVE-2021-31004: Csaba Fitzl (@theevilbit) (Offensive Security)

TCC

Disponibilitate pentru: macOS Big Sur

Impact: este posibil ca o aplicație rău intenționată să poată ocoli anumite restricții de confidențialitate

Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.

CVE-2021-30798: Mickey Jin (@patch1t) (Trend Micro) în colaborare cu Trend Micro Zero Day Initiative

WebKit

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: a fost rezolvată o problemă de confuzie a tipului prin îmbunătățirea tratării stării.

CVE-2021-30758: Christoph Guttandin (Media Codings)

WebKit

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

CVE-2021-30795: Sergei Glazunov (Google Project Zero)

WebKit

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2021-30797: Ivan Fratric (Google Project Zero)

WebKit

Disponibilitate pentru: macOS Big Sur

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: au fost rezolvate mai multe probleme de deteriorare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2021-30799: Sergei Glazunov (Google Project Zero)

Alte mențiuni

configd

Dorim să îi mulțumim lui Csaba Fitzl (@theevilbit) (Offensive Security) pentru asistență.

CoreText

Dorim să-i mulțumim lui Mickey Jin (@patch1t) (Trend Micro) pentru asistența acordată.

crontabs

Dorim să îi mulțumim lui Csaba Fitzl (@theevilbit) (Offensive Security) pentru asistență.

Power Management

Dorim să le mulțumim lui Pan ZhenPeng(@Peterpan0927) de la Alibaba Security Pandora Lab, Csaba Fitzl (@theevilbit), Lisandro Ubiedo (@_lubiedo) de la Stratosphere Lab

Sandbox

Dorim să îi mulțumim lui Csaba Fitzl (@theevilbit) (Offensive Security) pentru asistență.

Spotlight

Dorim să îi mulțumim lui Csaba Fitzl (@theevilbit) (Offensive Security) pentru asistență.

sysdiagnose

Dorim să le mulțumim lui Carter Jones (linkedin.com/in/carterjones/) și lui Tim Michaud (@TimGMichaud) (Zoom Video Communications) pentru asistența acordată.