Despre actualizările de securitate Apple
Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate în pagina Versiuni de securitate Apple.
Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.
Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.
visionOS 1.1
Lansare: 7 martie 2024
Accessibility
Disponibilitate pentru: Apple Vision Pro
Impact: o aplicație poate falsifica notificări de sistem și interfața de utilizare
Descriere: această problemă a fost rezolvată prin verificări îmbunătățite ale drepturilor.
CVE-2024-23262: Guilherme Rambo de la Best Buddy Apps (rambo.codes)
ImageIO
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea unei imagini poate cauza divulgarea memoriei de proces
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
CVE-2024-23257: Junsung Lee în colaborare cu Trend Micro Zero Day Initiative
ImageIO
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea unei imagini poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o citire în afara limitelor prin îmbunătățirea validării intrării.
CVE-2024-23258: Zhenjiang Zhao de la pangu team și Qianxin
ImageIO
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea unei imagini poate cauza executarea unui cod arbitrar
Descriere: a fost rezolvată o problemă de depășire a memoriei-tampon prin îmbunătățirea tratării memoriei.
CVE-2024-23286: Dohyun Lee (@l33d0hyun)
Kernel
Disponibilitate pentru: Apple Vision Pro
Impact: este posibil ca o aplicație să poată accesa date sensibile ale utilizatorilor
Descriere: a fost rezolvată o condiție de rulare prin validare suplimentară.
CVE-2024-23235
Kernel
Disponibilitate pentru: Apple Vision Pro
Impact: o aplicație poate duce la închiderea neașteptată a sistemului sau poate scrie în memoria kernel
Descriere: a fost rezolvată o vulnerabilitate de deteriorare a memoriei prin îmbunătățirea blocării.
CVE-2024-23265: Xinru Chi de la Pangu Lab
Kernel
Disponibilitate pentru: Apple Vision Pro
Impact: un atacator cu capacitate arbitrară de citire și scriere kernel poate reuși să evite protecțiile memoriei kernel. Apple a luat cunoștință de o raportare conform căreia este posibil ca această problemă să fi fost exploatată.
Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea validării.
CVE-2024-23225
Metal
Disponibilitate pentru: Apple Vision Pro
Impact: o aplicație poate citi memorie restricționată
Descriere: a fost rezolvată o problemă de validare prin îmbunătățirea igienizării intrării.
CVE-2024-23264: Meysam Firouzi @R00tkitsmm în colaborare cu Trend Micro Zero Day Initiative
Persona
Disponibilitate pentru: Apple Vision Pro
Impact: un utilizator neautentificat poate utiliza o reprezentare Persona neprotejată
Descriere: o problemă legată de permisiuni a fost rezolvată pentru asigurarea că reprezentările Persona sunt protejate întotdeauna
CVE-2024-23295: Patrick Reardon
RTKit
Disponibilitate pentru: Apple Vision Pro
Impact: un atacator cu capacitate arbitrară de citire și scriere kernel poate reuși să evite protecțiile memoriei kernel. Apple a luat cunoștință de o raportare conform căreia este posibil ca această problemă să fi fost exploatată.
Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea validării.
CVE-2024-23296
Safari
Disponibilitate pentru: Apple Vision Pro
Impact: este posibil ca o aplicație să poată amprenta utilizatorul
Descriere: problema a fost remediată printr-o manipulare îmbunătățită a cache-urilor.
CVE-2024-23220
UIKit
Disponibilitate pentru: Apple Vision Pro
Impact: o aplicație poate evada din sandbox
Descriere: această problemă a fost rezolvată prin eliminarea codului vulnerabil.
CVE-2024-23246: Deutsche Telekom Security GmbH sponsorizată de Bundesamt für Sicherheit in der Informationstechnik
WebKit
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea conținutului web poate cauza executarea de cod arbitrar
Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.
WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car
WebKit
Disponibilitate pentru: Apple Vision Pro
Impact: un site web rău intenționat poate exfiltra date audio cu origini încrucișate
Descriere: problema a fost remediată prin îmbunătățirea gestionării interfeței cu utilizatorul.
WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)
WebKit
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea conținutului web creat cu rea intenție poate împiedica aplicarea politicii privind securitatea conținutului
Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea validării.
WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)
WebKit
Disponibilitate pentru: Apple Vision Pro
Impact: procesarea conținutului web creat cu rea intenție poate împiedica aplicarea politicii privind securitatea conținutului
Descriere: a fost rezolvată o problemă de logică prin îmbunătățirea gestionării stării.
WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber și Marco Squarcina
Alte mențiuni
Kernel
Dorim să mulțumim lui Tarek Joumaa (@tjkr0wn) și lui 이준성(Junsung Lee) pentru asistența acordată.
Model I/O
Dorim să mulțumim lui Junsung Lee pentru asistența acordată.
Power Management
Dorim să mulțumim lui Pan ZhenPeng (@Peterpan0927) de la STAR Labs SG Pte. Ltd. pentru asistența acordată.
Safari
Dorim să mulțumim lui Abhinav Saraswat, lui Matthew C și lui 이동하 (Lee Dong Ha de la ZeroPointer Lab) pentru asistența acordată.
WebKit
Dorim să mulțumim lui Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina și Lorenzo Veronese de la TU Wien pentru asistența acordată.