Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.
Дополнительные сведения о безопасности см. в статье Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.
macOS Catalina 10.15.2, обновления системы безопасности 2019-002 для Mojave и 2019-007 для High Sierra
Дата выпуска: 10 декабря 2019 г.
Инфраструктура ATS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Вредоносное приложение может получить доступ к файлам, предназначенным для ограниченного использования.
Описание. Проблема с логикой устранена путем улучшения ограничений.
CVE-2019-8837: Csaba Fitzl (@theevilbit)
Запись обновлена 18 декабря 2019 г.
Bluetooth
Целевые продукты: macOS Catalina 10.15
Воздействие. Приложение может считывать данные из области памяти с ограниченным доступом.
Описание. Проблема с проверкой устранена путем улучшения очистки ввода.
CVE-2019-8853: Jianjun Dai из подразделения Alpha Lab в Qihoo 360
CallKit
Целевые продукты: macOS Catalina 10.15
Воздействие. На устройствах с двумя активными тарифными планами сотовой связи для звонков с помощью Siri может использоваться неправильный тарифный план.
Описание. Возникала проблема с интерфейсом API при обработке исходящих телефонных звонков с помощью Siri. Проблема устранена путем усовершенствования управления состояниями.
CVE-2019-8856: Fabrice TERRANCLE из компании TERRANCLE SARL
Прокси-серверы CFNetwork
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Приложение может получить повышенные привилегии.
Описание. Проблема устранена путем улучшения проверок.
CVE-2019-8848: Zhuo Liang из группы Vulcan в Qihoo 360
Запись обновлена 18 декабря 2019 г.
CFNetwork
Целевые продукты: macOS Catalina 10.15
Воздействие. Злоумышленник с привилегированным положением в сети может обходить HSTS, если ограниченное количество доменов верхнего уровня заранее не было указано в списке предварительной загрузки HSTS.
Описание. Проблема конфигурации решена посредством добавления дополнительных ограничений.
CVE-2019-8834: Rob Sayre (@sayrer)
Запись добавлена 3 февраля 2020 г.
CUPS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. В определенных конфигурациях злоумышленник может удаленно добавлять произвольные задания печати.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2019-8842: пользователь Niky1235 из компании China Mobile
Запись обновлена 18 декабря 2019 г.
CUPS
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Злоумышленник с преимущественным положением в сети может вызвать отказ в обслуживании.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2019-8839: Stephan Zeisberg из компании Security Research Labs
Запись обновлена 18 декабря 2019 г.
FaceTime
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обработка вредоносного видео в FaceTime может привести к выполнению произвольного кода.
Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.
CVE-2019-8830: пользователь natashenka из подразделения Google Project Zero
Запись обновлена 18 декабря 2019 г.
IOGraphics
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Компьютер Mac может не блокироваться сразу же после пробуждения.
Описание. Логическая проблема устранена путем улучшенного управления состояниями.
CVE-2019-8851: Vladik Khononov из DoiT International
Запись добавлена 3 февраля 2020 г.
Ядро
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема с повреждением данных в памяти устранена путем удаления уязвимого кода.
CVE-2019-8833: Ian Beer из подразделения Google Project Zero
Запись обновлена 18 декабря 2019 г.
Ядро
Целевые продукты: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.
CVE-2019-8828: Cim Stordal из компании Cognite
CVE-2019-8838: Dr Silvio Cesare из компании InfoSect
CVE-2019-8847: специалисты Apple
CVE-2019-8852: пользователь pattern-f (@pattern_F_) из компании WaCai
libexpat
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Парсинг вредоносного файла XML может привести к разглашению информации пользователя.
Описание. Проблема устранена путем обновления expat до версии 2.2.8.
CVE-2019-15903: Joonun Jang
Запись обновлена 18 декабря 2019 г.
Примечания
Целевые продукты: macOS Catalina 10.15
Воздействие. Удаленный злоумышленник может перезаписать существующие файлы.
Описание. Проблема анализа при обработке путей к каталогам устранена путем улучшенной проверки путей.
CVE-2020-9782: Allison Husain из Калифорнийского университета в Беркли
Запись добавлена 4 апреля 2020 г.
OpenLDAP
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обнаружен ряд проблем в реализации OpenLDAP.
Описание. Ряд проблем устранен путем обновления OpenLDAP до версии 2.4.28.
CVE-2012-1164
CVE-2012-2668
CVE-2013-4449
CVE-2015-1545
CVE-2019-13057
CVE-2019-13565
Запись обновлена 3 февраля 2020 г.
Безопасность
Целевые продукты: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15
Воздействие. Приложение может выполнять произвольный код с системными правами.
Описание. Проблема с повреждением данных в памяти устранена путем улучшенной обработки памяти.
CVE-2019-8832: Insu Yun из подразделения SSLab Технологического института Джорджии
tcpdump
Целевые продукты: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15
Воздействие. Обнаружен ряд проблем в tcpdump.
Описание. Ряд проблем устранен путем обновления tcpdump до версии 4.9.3 и libpcap до версии 1.9.1.
CVE-2017-16808
CVE-2018-10103
CVE-2018-10105
CVE-2018-14461
CVE-2018-14462
CVE-2018-14463
CVE-2018-14464
CVE-2018-14465
CVE-2018-14466
CVE-2018-14467
CVE-2018-14468
CVE-2018-14469
CVE-2018-14470
CVE-2018-14879
CVE-2018-14880
CVE-2018-14881
CVE-2018-14882
CVE-2018-16227
CVE-2018-16228
CVE-2018-16229
CVE-2018-16230
CVE-2018-16300
CVE-2018-16301
CVE-2018-16451
CVE-2018-16452
CVE-2019-15166
CVE-2019-15167
Запись обновлена 11 февраля 2020 г.
Wi-Fi
Целевые продукты: macOS Mojave 10.14.6 и macOS High Sierra 10.13.6
Воздействие. Злоумышленник в зоне действия Wi-Fi может просматривать небольшой объем сетевого трафика.
Описание. При обработке переходов между состояниями возникала логическая ошибка. Проблема устранена путем улучшенного управления состояниями.
CVE-2019-15126: Milos Cermak из компании ESET
Запись добавлена 27 февраля 2020 г.
Дополнительные благодарности
Учетные записи
Благодарим за помощь Allison Husain из Калифорнийского университета в Беркли, Kishan Bagaria (KishanBagaria.com), Tom Snelling из Университета Лафборо.
Запись обновлена 4 апреля 2020 г.
Core Data
Выражаем благодарность за помощь пользователю natashenka из подразделения Google Project Zero.
Finder
Благодарим за помощь Csaba Fitzl (@theevilbit).
Запись добавлена 18 декабря 2019 г.
Ядро
Благодарим за помощь Daniel Roethlisberger из Swisscom CSIRT.
Запись добавлена 18 декабря 2019 г.