Сведения о проблемах системы безопасности, устраняемых обновлением visionOS 2
В этом документе описаны проблемы системы безопасности, устраняемые в visionOS 2.
Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.
Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.
visionOS 2
Дата выпуска: 16 сентября 2024 г.
ARKit
Доступно для: Apple Vision Pro
Воздействие. При обработке вредоносного файла возможно повреждение динамической памяти.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2024-44126: Хольгер Фурманнек (Holger Fuhrmannek)
Запись добавлена 28 октября 2024 г.
APFS
Доступно для: Apple Vision Pro
Воздействие. Вредоносное приложение с привилегиями root может изменять содержимое системных файлов.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)
Compression
Доступно для: Apple Vision Pro
Воздействие. Злоумышленник может записывать произвольные файлы при распаковке вредоносного архива.
Описание. Условие состязания устранено путем улучшения блокировки.
CVE-2024-27876: Snoolie Keffaber (@0xilis)
DiskArbitration
Доступно для: Apple Vision Pro
Воздействие. Приложение в изолированной среде может получать доступ к конфиденциальным данным пользователя.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2024-40855: Csaba Fitzl (@theevilbit) из Kandji
Запись добавлена 3 марта 2025 г.
FileProvider
Доступно для: Apple Vision Pro
Воздействие. Локальный пользователь может инициировать утечку конфиденциальных пользовательских данных.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2024-54469: Csaba Fitzl (@theevilbit) из Kandji
Запись добавлена 3 марта 2025 г.
Game Center
Доступно для: Apple Vision Pro
Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.
Описание. Проблема с файловым доступом устранена путем улучшенной проверки ввода.
CVE-2024-40850: Denis Tokarev (@illusionofcha0s)
ImageIO
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения.
Описание. Проблема чтения за границами выделенной области памяти устранена за счет оптимизации проверки ввода.
CVE-2024-27880: Junsung Lee
ImageIO
Доступно для: Apple Vision Pro
Воздействие. Обработка изображения может приводить к отказу в обслуживании.
Описание. Проблема доступа к данным за границами выделенной области памяти устранена путем улучшенной проверки границ.
CVE-2024-44176: пользователь dw0r из ZeroPointer Lab в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative и анонимный исследователь
IOSurfaceAccelerator
Доступно для: Apple Vision Pro
Воздействие. Приложение может вызвать неожиданное завершение работы системы.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2024-44169: Antonio Zekić
Kernel
Доступно для: Apple Vision Pro
Воздействие. Сетевой трафик может утекать за пределы VPN-туннеля.
Описание. Проблема с логикой устранена путем улучшения проверок.
CVE-2024-44165: Andrew Lytvynov
Kernel
Доступно для: Apple Vision Pro
Воздействие. Приложение может получить несанкционированный доступ к Bluetooth
Описание. Эта проблема устранена путем улучшенного управления состояниями.
CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) и Mathy Vanhoef
libxml2
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.
Описание. Проблема целочисленного переполнения устранена путем улучшенной проверки ввода.
CVE-2024-44198: пользователь OSS-Fuzz, Ned Williamson из Google Project Zero
mDNSResponder
Доступно для: Apple Vision Pro
Воздействие. Приложение может вызывать отказ в обслуживании.
Описание. Логическая ошибка устранена путем улучшенной обработки файлов.
CVE-2024-44183: Olivier Levon
Model I/O
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного изображения может приводить к отказу в обслуживании.
Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительную информацию о проблеме и идентификаторе CVE см. на cve.org.
CVE-2023-5841
Notes
Доступно для: Apple Vision Pro
Воздействие. Приложение может перезаписывать произвольные файлы.
Описание. Проблема решена путем удаления уязвимого кода.
CVE-2024-44167: ajajfxhj
Presence
Доступно для: Apple Vision Pro
Воздействие. Приложение может считывать конфиденциальные данные из памяти ГП.
Описание. Проблема устранена путем улучшенной обработки кэшей.
CVE-2024-40790: Max Thomas
SceneKit
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения.
Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.
CVE-2024-44144: 냥냥
Запись добавлена 28 октября 2024 г.
WebKit
Доступно для: Apple Vision Pro
Воздействие. Вредоносный веб-сайт может вызывать утечку данных в другой домен.
Описание. Проблема с управлением файлами cookie устранена путем улучшенного управления состояниями.
WebKit Bugzilla: 287874
CVE-2024-54467: Narendra Bhati, руководитель отдела кибербезопасности Suma Soft Pvt. Ltd, Пуна (Индия)
Запись добавлена 3 марта 2025 г.
WebKit
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.
Описание. Проблема устранена путем улучшенной проверки.
WebKit Bugzilla: 268770
CVE-2024-44192: Tashita Software Security
Запись добавлена 3 марта 2025 г.
WebKit
Доступно для: Apple Vision Pro
Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению универсальных межсайтовых сценариев.
Описание. Эта проблема устранена путем улучшенного управления состояниями.
WebKit Bugzilla: 268724
CVE-2024-40857: Ron Masas
WebKit
Доступно для: Apple Vision Pro
Воздействие. Вредоносный веб-сайт может вызывать утечку данных в другой домен.
Описание. Возникала проблема с перекрестными источниками, связанными с элементами iFrame. Проблема устранена путем улучшения отслеживания источников безопасности.
WebKit Bugzilla: 279452
CVE-2024-44187: Narendra Bhati, руководитель отдела кибербезопасности Suma Soft Pvt. Ltd, Пуна (Индия)
Дополнительные благодарности
Kernel
Выражаем благодарность за помощь Braxton Anderson.
Maps
Выражаем благодарность за помощь пользователю Kirin (@Pwnrin).
Notifications
Выражаем благодарность за помощь Abhay Kailasia (@abhay_kailasia) из Технологического колледжа Лакшми Нараяна (Бхопал), Dev dutta (manas.dutta.75) и Prateek Pawar (vakil sahab).
Запись добавлена 3 марта 2025 г.
Passwords
Выражаем благодарность за помощь Richard Hyunho Im (@r1cheeta).
Photos
Выражаем благодарность за помощь пользователю Junior Vergara.
Запись добавлена 3 марта 2025 г.
TCC
Выражаем благодарность за помощь Vaibhav Prajapati.
WebKit
Выражаем благодарность за помощь Avi Lumelsky из Oligo Security, Uri Katz из Oligo Security, Eli Grey (eligrey.com) и Johan Carlsson (joaxcar).
Запись обновлена 28 октября 2024 г.
Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.