Проблемы, устраняемые обновлением системы безопасности 2022-004 для macOS Catalina

В этом документе описаны проблемы, устраняемые обновлением системы безопасности 2022-004 для macOS Catalina.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности продуктов Apple см. на этой странице.

Обновление системы безопасности 2022-004 для macOS Catalina

apache

Целевые продукты: macOS Catalina

Воздействие. Обнаружен ряд проблем в Apache.

Описание. Ряд проблем устранен путем обновления Apache до версии 2.4.53.

CVE-2021-44224

CVE-2021-44790

CVE-2022-22719

CVE-2022-22720

CVE-2022-22721

AppKit

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может повышать уровень привилегий до корневого пользователя.

Описание. Проблема с логикой устранена путем улучшенной проверки.

CVE-2022-22665: подразделение Red Team компании Lockheed Martin

AppleEvents

Целевые продукты: macOS Catalina

Воздействие. Удаленный пользователь может удаленно выполнить произвольный код или вызвать неожиданное завершение работы приложения.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2022-22630: Jeremy Brown в сотрудничестве с Trend Micro по программе Zero Day Initiative

AppleGraphicsControl

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного изображения может приводить к выполнению произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2022-26751: Майкл Деплант (Michael DePlante, @izobashi) в сотрудничестве с Trend Micro по программе Zero Day Initiative

AppleScript

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного двоичного файла AppleScript может приводить к неожиданному завершению работы приложения или к раскрытию памяти процессов.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2022-26697: Ци Сунь (Qi Sun) и Роберт Аи (Robert Ai) из Trend Micro

AppleScript

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного двоичного файла AppleScript может приводить к неожиданному завершению работы приложения или к раскрытию памяти процессов.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2022-26698: Ци Сунь (Qi Sun) из Trend Micro

CoreTypes

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может обходить проверки Gatekeeper.

Описание. Проблема устранена путем улучшенных проверок, чтобы предотвратить несанкционированные действия.

CVE-2022-22663: Арсений Костромин (Arsenii Kostromin, 0x3c3e)

CVMS

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может повышать уровень привилегий до корневого пользователя.

Описание. Устранена проблема с инициализацией памяти.

CVE-2022-26721: Юнхви Чжин (Yonghwi Jin, @jinmo123) из Theori

CVE-2022-26722: Юнхви Чжин (Yonghwi Jin, @jinmo123) из Theori

DriverKit

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может выполнять произвольный код с системными правами.

Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2022-26763: Линус Хенце (Linus Henze) из Pinauten GmbH (pinauten.de)

Graphics Drivers

Целевые продукты: macOS Catalina

Воздействие. Локальный пользователь может считывать память ядра.

Описание. Возникала проблема чтения за пределами выделенной области памяти, приводившая к утечке памяти ядра. Проблема устранена путем улучшенной проверки ввода.

CVE-2022-22674: анонимный исследователь

Intel Graphics Driver

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2022-26720: Лю Лун (Liu Long) из отдела Light-Year Security Lab компании Ant Group

Intel Graphics Driver

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2022-26770: Лю Лун (Liu Long) из отдела Light-Year Security Lab компании Ant Group

Intel Graphics Driver

Целевые продукты: macOS Catalina

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2022-26756: Джек Дейтс (Jack Dates) из RET2 Systems, Inc

Intel Graphics Driver

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2022-26769: Антонио Зекич (Antonio Zekic, @antoniozekic)

Intel Graphics Driver

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2022-26748: Чонхун Шин (Jeonghoon Shin) из Theori в сотрудничестве с Trend Micro по программе Zero Day Initiative

Kernel

Целевые продукты: macOS Catalina

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшения проверки.

CVE-2022-26714: Питер Нгуен Ву Хоанг (Peter Nguyễn Vũ Hoàng, @peternguyen14) из STAR Labs (@starlabs_sg)

Kernel

Целевые продукты: macOS Catalina

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2022-26757: Нед Уильямсон (Ned Williamson) из Google Project Zero

libresolv

Целевые продукты: macOS Catalina

Воздействие. Удаленный пользователь может вызывать отказ в обслуживании.

Описание. Проблема устранена путем улучшения проверок.

CVE-2022-32790: Max Shavrick (@_mxms) из подразделения Google Security Team

libresolv

Целевые продукты: macOS Catalina

Воздействие. Злоумышленник может вызвать неожиданное завершение работы приложения или выполнить произвольный код.

Описание. Проблема целочисленного переполнения устранена путем улучшенной проверки ввода.

CVE-2022-26775: Макс Шаврик (Max Shavrick, @_mxms) из подразделения Google Security Team

LibreSSL

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного сертификата может приводить к отказу в обслуживании.

Описание. Проблема отказа в обслуживании устранена путем улучшенной проверки ввода.

CVE-2022-0778

libxml2

Целевые продукты: macOS Catalina

Воздействие. Злоумышленник может удаленно вызвать неожиданное завершение работы приложения или выполнение произвольного кода.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2022-23308

OpenSSL

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного сертификата может приводить к отказу в обслуживании.

Описание. Проблема устранена путем улучшения проверок.

CVE-2022-0778

PackageKit

Целевые продукты: macOS Catalina

Воздействие. Приложение может получить повышенные привилегии.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2022-32794: Mickey Jin (@patch1t)

PackageKit

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может изменять защищенные области файловой системы.

Описание. Проблема устранена с помощью улучшенных разрешений.

CVE-2022-26727: Микки Цзинь (Mickey Jin, @patch1t)

Printing

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может обходить настройки конфиденциальности.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2022-26746: @gorelics

Security

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может обходить проверку подписи.

Описание. Проблема с анализом сертификатов устранена путем улучшения проверок.

CVE-2022-26766: Линус Хенце (Linus Henze) из Pinauten GmbH (pinauten.de)

SMB

Целевые продукты: macOS Catalina

Воздействие. Приложение может получить повышенные привилегии.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2022-26715: Питер Нгуен Ву Хоанг (Peter Nguyễn Vũ Hoàng) из STAR Labs

SoftwareUpdate

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может получить доступ к файлам, предназначенным для ограниченного использования.

Описание. Проблема устранена с помощью улучшенных разрешений.

CVE-2022-26728: Микки Цзинь (Mickey Jin, @patch1t)

TCC

Целевые продукты: macOS Catalina

Воздействие. Приложение может записывать изображение с экрана пользователя.

Описание. Проблема устранена путем улучшения проверок.

CVE-2022-26726: Antonio Cheong Yu Xuan из YCISCQ

Tcl

Целевые продукты: macOS Catalina

Воздействие. Вредоносное приложение может выходить за границы изолированной среды.

Описание. Проблема устранена путем улучшения очистки среды.

CVE-2022-26755: Арсений Костромин (Arsenii Kostromin, 0x3c3e)

WebKit

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного почтового сообщения может приводить к запуску произвольного сценария JavaScript.

Описание. Проблема с проверкой устранена путем улучшения очистки ввода.

CVE-2022-22589: пользователь Heige из KnownSec 404 Team (knownsec.com) и Бо Цюй (Bo Qu) из Palo Alto Networks (paloaltonetworks.com)

Wi-Fi

Целевые продукты: macOS Catalina

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2022-26761: Ван Юй (Wang Yu) из Cyberserval

zip

Целевые продукты: macOS Catalina

Воздействие. Обработка вредоносного файла может приводить к отказу в обслуживании.

Описание. Проблема отказа в обслуживании устранена путем улучшенного управления состояниями.

CVE-2022-0530

zlib

Целевые продукты: macOS Catalina

Воздействие. Злоумышленник может вызвать неожиданное завершение работы приложения или выполнение произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2018-25032: Тэвис Орманди (Tavis Ormandy)

zsh

Целевые продукты: macOS Catalina

Воздействие. Злоумышленник может удаленно вызвать выполнение произвольного кода.

Описание. Проблема устранена путем обновления zsh до версии 5.8.1.

CVE-2021-45444

Дополнительные благодарности

PackageKit

Выражаем благодарность за помощь Mickey Jin (@patch1t) из Trend Micro.