Сведения о проблемах системы безопасности, устраняемых обновлением macOS Mojave 10.14.4, а также обновлением системы безопасности 2019-002 для High Sierra и Sierra

В этом документе описываются проблемы системы безопасности, устраняемые обновлением macOS Mojave 10.14.4, а также обновлением системы безопасности 2019-002 для High Sierra и Sierra.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

В документах Apple о безопасности уязвимости идентифицируются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности см. на странице Безопасность продуктов Apple.

macOS Mojave 10.14.4, обновление системы безопасности 2019-002 для High Sierra и Sierra

Дата выпуска: 25 марта 2019 г.

802.1X

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Злоумышленник, имеющий привилегированное положение в сети, может перехватывать сетевой трафик.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2019-6203: Доминик Уайт (Dominic White, @singe) из SensePost

Запись добавлена 15 апреля 2019 г.

802.1X

Целевые продукты: macOS High Sierra 10.13.6

Воздействие. Ненадежный сертификат RADIUS-сервера может стать надежным.

Описание. Проблема с проверкой при управлении якорем доверия. Проблема устранена путем улучшения процедуры проверки.

CVE-2019-8531: анонимный исследователь и специалисты отдела оценки качества из SecureW2

Запись добавлена 15 мая 2019 г.

Учетные записи

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносного файла .vcf может приводить к отказу в обслуживании.

Описание. Проблема отказа в обслуживании устранена путем улучшенной проверки.

CVE-2019-8538: Тревор Спиниолас (Trevor Spiniolas, @TrevorSpiniolas)

Запись добавлена 3 апреля 2019 г.

APFS

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с логикой приводила к повреждению памяти. Проблема устранена путем улучшенного управления состояниями.

CVE-2019-8534: пользователь Mac, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

Запись добавлена 15 апреля 2019 г.

AppleGraphicsControl

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Вредоносная программа может выполнять произвольный код с привилегиями ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.

CVE-2019-8555: Чжии Чжан (Zhiyi Zhang) из подразделения 360 ESG Codesafe, Чжуо Лян (Zhuo Liang) и пользователь shrek_wzw из группы Nirvan в Qihoo 360

Bom

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа могла обходить проверки Gatekeeper.

Описание. Проблема устранена путем улучшенной обработки метаданных файлов.

CVE-2019-6239: Иэн Мурхаус (Ian Moorhouse) и Майкл Тримм (Michael Trimm)

CFString

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносной строки может привести к отказу в обслуживании.

Описание. Проблема с проверкой устранена путем улучшения логики.

CVE-2019-8516: команда SWIPS из компании Frifee Inc.

configd

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема с инициализацией памяти устранена путем улучшенной обработки памяти.

CVE-2019-8552: Мохамед Ганнэм (Mohamed Ghannam, @_simo36)

Контакты

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной обработки памяти.

CVE-2019-8511: анонимный исследователь

CoreCrypto

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки границ.

CVE-2019-8542: анонимный исследователь

DiskArbitration

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Зашифрованный том мог быть отключен и снова подключен другим пользователем без запроса пароля.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2019-8522: Колин Мегиннис (Colin Meginnis) (@falc420)

FaceTime

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Может не приостанавливаться воспроизведение видео пользователя во время вызова FaceTime, если из программы FaceTime выйти в процессе звучания сигнала вызова.

Описание. Возникала проблема с постановкой на паузу видео в программе FaceTime. Проблема решена посредством улучшения логики.

CVE-2019-8550: Лорен Гузничак (Lauren Guzniczak) из Keystone Academy

Ассистент обратной связи

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа могла повышать уровень привилегий до корневого пользователя.

Описание. Проблема с возникновением условия состязания устранена путем дополнительной проверки.

CVE-2019-8565: пользователь CodeColorist из Ant-Financial LightYear Labs

Ассистент обратной связи

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Вредоносная программа может перезаписать произвольные файлы.

Описание. Проблема устранена путем улучшенных проверок.

CVE-2019-8521: пользователь CodeColorist из Ant-Financial LightYear Labs

file

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносного файла может привести к раскрытию сведений о пользователе.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8906: Франциско Алонсо (Francisco Alonso)

Запись обновлена 15 апреля 2019 г.

Графические драйверы

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Программа может считывать данные из области памяти с ограниченным доступом.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8519: Александр Тарасиков (Aleksandr Tarasikov, (@astarasikov), Ювей Лин (Juwei Lin, @panicaII) и Юнджи Лу (Junzhi Lu) из отдела исследований компании TrendMicro, сотрудничающие с компанией Trend Micro в рамках программы Zero Day Initiative

iAP

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки границ.

CVE-2019-8542: анонимный исследователь

IOGraphics

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Компьютер Mac мог не блокироваться при отключении от внешнего монитора.

Описание. Проблема с обработкой блокировки решена посредством улучшенной обработки блокировки.

CVE-2019-8533: анонимный исследователь, Джеймс Иган (James Eagan) из Télécom ParisTech, Р. Скотт Кемп (R. Scott Kemp) из MIT и Ромке ван Дийк (Romke van Dijk) из Z-CERT

IOHIDFamily

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Локальный пользователь может вызывать неожиданное завершение работы системы или считывать память ядра

Описание. Проблема с повреждением данных в памяти устранена путем улучшенного управления состояниями.

CVE-2019-8545: Адам Доненфэлд (Adam Donenfeld, @doadam) из команды Zimperium zLabs

IOKit

Целевые продукты: macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Локальный пользователь может считывать память ядра.

Описание. Проблема с инициализацией памяти устранена путем улучшенной обработки памяти.

CVE-2019-8504: анонимный исследователь

IOKit SCSI

Целевые продукты: macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Программа может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2019-8529: Ювей Лин (Juwei Lin, @panicaII) из отдела исследований компании TrendMicro, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

Запись обновлена 15 апреля 2019 г.

Ядро

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Удаленный злоумышленник может вызывать неожиданное завершение работы системы или повреждение памяти ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.

CVE-2019-8527: Нед Уильямсон (Ned Williamson) из корпорации Google и пользователь derrek (@derrekr6)

Ядро

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Программа может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с использованием памяти после ее освобождения устранена путем улучшенного управления памятью.

CVE-2019-8528: Фабьяно Анемоне (Fabiano Anemone, @anoane) и Чжао Цисюнь (Zhao Qixun, @S0rryMybad) из группы Vulcan в Qihoo 360

Запись добавлена 3 апреля 2019 г.

Ядро

Целевые продукты: macOS Sierra 10.12.6, macOS Mojave 10.14.3

Воздействие. Подключение вредоносной сети NFS может привести к выполнению произвольного кода с системными привилегиями.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки границ.

CVE-2019-8508: Сильвио Цезаре (Dr. Silvio Cesare) из компании InfoSect

Ядро

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Программа может получить повышенные привилегии.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2019-8514: Самуэль Гросс (Samuel Groß) из подразделения Google Project Zero

Ядро

Целевые продукты: macOS Sierra 10.12.6, macOS Mojave 10.14.3

Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.

Описание. Проблема с инициализацией памяти устранена путем улучшенной обработки памяти.

CVE-2019-8540: Вейбо Ванг (Weibo Wang, @ma1fan) из группы Nirvan в Qihoo 360

Ядро

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Локальный пользователь может считывать память ядра.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.

CVE-2019-7293: Нед Уильямсон (Ned Williamson) из корпорации Google

Ядро

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Вредоносная программа может выявлять схему распределения памяти в ядре.

Описание. Возникала проблема чтения за пределами выделенной области памяти, приводившая к утечке памяти ядра. Проблема устранена путем улучшенной проверки ввода.

CVE-2019-6207: Вейбо Ванг (Weibo Wang, @ma1fan) из группы Nirvan в Qihoo 360

CVE-2019-8510: Штефан Эссер (Stefan Esser) из Antid0te UG

Сообщения

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Локальный пользователь может просматривать конфиденциальные пользовательские данные.

Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2019-8546: Чиюань Чэнг (Chiyuan Chang)

Modem CCL

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Программа может получить повышенные привилегии.

Описание. Проблема проверки ввода устранена путем улучшенной обработки памяти.

CVE-2019-8579: анонимный исследователь

Запись добавлена 15 апреля 2019 г.

Примечания

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Локальный пользователь может просматривать заблокированные заметки пользователя.

Описание. Проблема с доступом устранена путем улучшенного управления памятью.

CVE-2019-8537: Грег Уокер (Greg Walker, gregwalker.us)

PackageKit

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Вредоносная программа может повышать уровень привилегий.

Описание. Проблема с логикой устранена путем улучшенной проверки.

CVE-2019-8561: Джарон Брэдли (Jaron Bradley) из Crowdstrike

Perl

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Обнаружен ряд проблем в Perl.

Описание. В этом обновлении был устранен ряд проблем с Perl.

CVE-2018-12015: Якуб Вилк (Jakub Wilk)

CVE-2018-18311: Джайякришна Менон (Jayakrishna Menon)

CVE-2018-18313: Эичи Тсуката (Eiichi Tsukata)

Управление питанием

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может выполнять произвольный код с системными привилегиями.

Описание. В коде, создаваемом в MIG, существовал ряд проблем с проверкой ввода. Эти проблемы устранены путем улучшенной процедуры проверки.

CVE-2019-8549: Мохамед Ганнэм (Mohamed Ghannam, @_simo36) из SSD Secure Disclosure (ssd-disclosure.com)

QuartzCore

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносных данных может привести к неожиданному завершению работы программы.

Описание. Ряд проблем с повреждением данных в памяти устранен путем улучшенной проверки ввода.

CVE-2019-8507: Кай Лу (Kai Lu) из подразделения FortiGuard Labs компании Fortinet

Безопасность

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Программа может получить повышенные привилегии.

Описание. Проблема с использованием памяти после ее освобождения устранена путем улучшенного управления памятью.

CVE-2019-8526: Линус Хенце (Linus Henze, pinauten.de)

Безопасность

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Вредоносная программа может считывать данные из области памяти с ограниченным доступом.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8520: Антонио Гроца (Antonio Groza), Национальный центр кибербезопасности Великобритании (NCSC)

Безопасность

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Ненадежный сертификат RADIUS-сервера может стать надежным.

Описание. Проблема с проверкой при управлении якорем доверия. Проблема устранена путем улучшения процедуры проверки.

CVE-2019-8531: анонимный исследователь и специалисты отдела оценки качества из SecureW2

Безопасность

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Недоверенный сертификат RADIUS-сервера может становиться доверенным.

Описание. Проблема с проверкой при управлении якорем доверия. Проблема устранена путем улучшения процедуры проверки.

CVE-2019-8531: анонимный исследователь и специалисты отдела оценки качества из SecureW2

Запись добавлена 15 мая 2019 г.

Siri

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Вредоносная программа может инициировать запросы функции «Диктовка» без авторизации пользователя.

Описание. При обработке запросов функции «Диктовка» возникала проблема с интерфейсом API. Проблема устранена путем улучшения процедуры проверки.

CVE-2019-8502: Люк Десхотелс (Luke Deshotels), Джордан Байхлер (Jordan Beichler) и Уильям Энк (William Enck) из Университета штата Северная Каролина, а также Костин Карабаш (Costin Carabaș) и Разван Деаконеску (Răzvan Deaconescu) из Политехнического университета Бухареста

Time Machine

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Локальный пользователь может вызвать выполнение произвольных команд оболочки.

Описание. Проблема устранена путем улучшенных проверок.

CVE-2019-8513: пользователь CodeColorist из Ant-Financial LightYear Labs

TrueTypeScaler

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносного шрифта может приводить к раскрытию памяти процессов.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2019-8517: пользователь riusksk из VulWar Corp, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

Wi-Fi

Целевые продукты: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.3

Воздействие. Злоумышленник с преимущественным положением в сети может изменять состояние драйвера.

Описание. Проблема с логикой устранена путем улучшенной проверки.

CVE-2019-8564: Гюг Ангелков (Hugues Anguelkov) во время стажировки в Quarkslab

Запись добавлена 15 апреля 2019 г.

xar

Целевые продукты: macOS Mojave 10.14.3

Воздействие. Обработка вредоносного пакета могла приводить к выполнению произвольного кода.

Описание. При обработке символьных ссылок возникала проблема проверки. Проблема устранена путем улучшенной проверки символьных ссылок.

CVE-2019-6238: Йигит Кан Йилмаз (Yiğit Can YILMAZ, @yilmazcanyigit)

Запись добавлена 15 апреля 2019 г.

XPC

Целевые продукты: macOS Sierra 10.12.6, macOS Mojave 10.14.3

Воздействие. Вредоносная программа может перезаписать произвольные файлы.

Описание. Проблема устранена путем улучшенных проверок.

CVE-2019-8530: пользователь CodeColorist из Ant-Financial LightYear Labs

Дополнительные благодарности

Учетные записи

Выражаем благодарность за помощь Милану Штуте (Milan Stute) из лаборатории Secure Mobile Networking Lab при Дармштадтском техническом университете.

Книги

Выражаем благодарность за помощь Йигиту Кану Йилмазу (Yiğit Can YILMAZ, @yilmazcanyigit).

Ядро

Выражаем благодарность за помощь Брэндону Азаду (Brandon Azad) из подразделения Google Project Zero.

Почта

Выражаем благодарность за помощь Крэйгу Янгу (Craig Young) из подразделения VERT компании Tripwire и Ханно Бёку (Hanno Böck).

Time Machine

Выражаем благодарность за помощь пользователю CodeColorist из Ant-Financial LightYear Labs.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного характера и не рекламируются компанией. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Помните, что использование любых сведений или продуктов, размещенных в Интернете, сопровождается риском. За дополнительной информацией обращайтесь к поставщику. Другие названия компаний или продуктов могут быть товарными знаками соответствующих владельцев.

Дата публикации: