Проблемы системы безопасности, устраняемые обновлением macOS Catalina 10.15.2, а также обновлениями системы безопасности 2019-002 для Mojave и 2019-007 для High Sierra
В этом документе описываются проблемы системы безопасности, устраняемые обновлением macOS Catalina 10.15.2, а также обновлениями системы безопасности 2019-002 для Mojave и 2019-007 для High Sierra.
Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.
Дополнительные сведения о безопасности см. в статье Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.
macOS Catalina 10.15.2, обновления системы безопасности 2019-002 для Mojave и 2019-007 для High Sierra
Инфраструктура ATS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Вредоносное приложение может получить доступ к файлам, предназначенным для ограниченного использования.
Описание. Проблема с логикой устранена путем улучшения ограничений.
CVE-2019-8837: Csaba Fitzl (@theevilbit)
Bluetooth
Целевые продукты: macOS Catalina 10.15
Воздействие. Приложение может считывать данные из области памяти с ограниченным доступом.
Описание. Проблема с проверкой устранена путем улучшения очистки ввода.
CVE-2019-8853: Jianjun Dai из подразделения Alpha Lab в Qihoo 360
CallKit
Целевые продукты: macOS Catalina 10.15
Воздействие. На устройствах с двумя активными тарифными планами сотовой связи для звонков с помощью Siri может использоваться неправильный тарифный план.
Описание. Возникала проблема с интерфейсом API при обработке исходящих телефонных звонков с помощью Siri. Проблема устранена путем усовершенствования управления состояниями.
CVE-2019-8856: Fabrice TERRANCLE из компании TERRANCLE SARL
Прокси-серверы CFNetwork
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Приложение может получить повышенные привилегии.
Описание. Проблема устранена путем улучшения проверок.
CVE-2019-8848: Zhuo Liang из группы Vulcan в Qihoo 360
CFNetwork
Целевые продукты: macOS Catalina 10.15
Воздействие. Злоумышленник с привилегированным положением в сети может обходить HSTS, если ограниченное количество доменов верхнего уровня заранее не было указано в списке предварительной загрузки HSTS.
Описание. Проблема конфигурации решена посредством добавления дополнительных ограничений.
CVE-2019-8834: Rob Sayre (@sayrer)
CUPS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. В определенных конфигурациях злоумышленник может удаленно добавлять произвольные задания печати.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2019-8842: пользователь Niky1235 из компании China Mobile
CUPS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Злоумышленник с преимущественным положением в сети может вызвать отказ в обслуживании.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2019-8839: Stephan Zeisberg из компании Security Research Labs
FaceTime
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обработка вредоносного видео в FaceTime может привести к выполнению произвольного кода.
Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.
CVE-2019-8830: пользователь natashenka из подразделения Google Project Zero
IOGraphics
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Компьютер Mac может не блокироваться сразу же после пробуждения.
Описание. Логическая проблема устранена путем улучшенного управления состояниями.
CVE-2019-8851: Vladik Khononov из DoiT International
Ядро
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема с повреждением данных в памяти устранена путем удаления уязвимого кода.
CVE-2019-8833: Ian Beer из подразделения Google Project Zero
Ядро
Целевые продукты: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.
CVE-2019-8828: Cim Stordal из компании Cognite
CVE-2019-8838: Dr Silvio Cesare из компании InfoSect
CVE-2019-8847: специалисты Apple
CVE-2019-8852: пользователь pattern-f (@pattern_F_) из компании WaCai
libexpat
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Парсинг вредоносного файла XML может привести к разглашению информации пользователя.
Описание. Проблема устранена путем обновления expat до версии 2.2.8.
CVE-2019-15903: Joonun Jang
Примечания
Целевые продукты: macOS Catalina 10.15
Воздействие. Удаленный злоумышленник может перезаписать существующие файлы.
Описание. Проблема анализа при обработке путей к каталогам устранена путем улучшенной проверки путей.
CVE-2020-9782: Allison Husain из Калифорнийского университета в Беркли
OpenLDAP
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обнаружен ряд проблем в реализации OpenLDAP.
Описание. Ряд проблем устранен путем обновления OpenLDAP до версии 2.4.28.
CVE-2012-1164
CVE-2012-2668
CVE-2013-4449
CVE-2015-1545
CVE-2019-13057
CVE-2019-13565
Безопасность
Целевые продукты: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с системными правами.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.
CVE-2019-8832: Insu Yun из подразделения SSLab Технологического института Джорджии
tcpdump
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обнаружен ряд проблем в tcpdump.
Описание. Ряд проблем устранен путем обновления tcpdump до версии 4.9.3 и libpcap до версии 1.9.1.
CVE-2017-16808
CVE-2018-10103
CVE-2018-10105
CVE-2018-14461
CVE-2018-14462
CVE-2018-14463
CVE-2018-14464
CVE-2018-14465
CVE-2018-14466
CVE-2018-14467
CVE-2018-14468
CVE-2018-14469
CVE-2018-14470
CVE-2018-14879
CVE-2018-14880
CVE-2018-14881
CVE-2018-14882
CVE-2018-16227
CVE-2018-16228
CVE-2018-16229
CVE-2018-16230
CVE-2018-16300
CVE-2018-16301
CVE-2018-16451
CVE-2018-16452
CVE-2019-15166
CVE-2019-15167
Wi-Fi
Целевые продукты: macOS Mojave 10.14.6 и macOS High Sierra 10.13.6
Воздействие. Злоумышленник в зоне действия Wi-Fi может просматривать небольшой объем сетевого трафика.
Описание. При обработке переходов между состояниями возникала логическая ошибка. Проблема устранена путем улучшенного управления состояниями.
CVE-2019-15126: Milos Cermak из компании ESET
Дополнительные благодарности
Учетные записи
Благодарим за помощь Allison Husain из Калифорнийского университета в Беркли, Kishan Bagaria (KishanBagaria.com), Tom Snelling из Университета Лафборо.
Core Data
Выражаем благодарность за помощь пользователю natashenka из подразделения Google Project Zero.
Finder
Благодарим за помощь Csaba Fitzl (@theevilbit).
Ядро
Благодарим за помощь Daniel Roethlisberger из Swisscom CSIRT.
Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.