Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.
Дополнительную информацию о безопасности см. на странице, посвященной безопасности продуктов Apple.
macOS Big Sur 11.7.7
Выпущено 18 мая 2023 г.
Accessibility
Целевые продукты: macOS Big Sur
Воздействие. Приложение может обойти настройки конфиденциальности.
Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.
CVE-2023-32388: Kirin (@Pwnrin)
AppleEvents
Целевые продукты: macOS Big Sur
Воздействие. Приложение может обойти настройки конфиденциальности.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-28191: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Целевые продукты: macOS Big Sur
Воздействие. Приложение может обойти настройки конфиденциальности.
Описание. Проблема устранена с помощью улучшенных разрешений.
CVE-2023-32411: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Целевые продукты: macOS Big Sur
Воздействие. Приложение может внедрить код в конфиденциальные двоичные файлы, поставляемые с Xcode.
Описание. Эта проблема устранена посредством принудительного включения защищенной среды выполнения для затронутых двоичных файлов на системном уровне.
CVE-2023-32383: James Duffy (mangoSecure)
Запись добавлена 21 декабря 2023 г.
Contacts
Целевые продукты: macOS Big Sur
Воздействие. Приложение может просматривать незащищенные данные пользователей.
Описание. Проблема конфиденциальности была решена путем улучшенной обработки временных файлов.
CVE-2023-32386: Kirin (@Pwnrin)
CoreCapture
Целевые продукты: macOS Big Sur
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2023-28181: Tingting Yin из Университета Цинхуа
CUPS
Целевые продукты: macOS Big Sur
Воздействие. Непроверенный пользователь может получить доступ к недавно напечатанным документам.
Описание. Проблема с аутентификацией устранена путем улучшенного управления состояниями.
CVE-2023-32360: Gerhard Muth
dcerpc
Целевые продукты: macOS Big Sur
Воздействие. Удаленный злоумышленник может выполнить произвольный код или вызвать неожиданное завершение работы приложения.
Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.
CVE-2023-32387: Dimitrios Tatsis из Cisco Talos
Dev Tools
Целевые продукты: macOS Big Sur
Воздействие. Приложение в изолированной среде может собирать данные системных журналов
Описание. Проблема устранена с помощью улучшенных разрешений.
CVE-2023-27945: Mickey Jin (@patch1t)
GeoServices
Целевые продукты: macOS Big Sur
Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.
Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.
CVE-2023-32392: Adam M.
Запись обновлена 21 декабря 2023 г.
ImageIO
Целевые продукты: macOS Big Sur
Воздействие. Обработка изображения может приводить к выполнению произвольного кода.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2023-32384: Meysam Firouzi из @R00tkitsmm в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative
IOSurface
Целевые продукты: macOS Big Sur
Воздействие. Приложение может вызывать утечку конфиденциальных данных о состоянии ядра.
Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.
CVE-2023-32410: hou xuewei (@p1ay8y3ar) vmk msu
Kernel
Целевые продукты: macOS Big Sur
Воздействие. Приложение может получить привилегии пользователя root.
Описание. Условие состязания устранено путем улучшения обработки состояний.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) из Synacktiv (@Synacktiv) в сотрудничестве с компанией Trend Micro в рамках программы Zero Day Initiative
Kernel
Целевые продукты: macOS Big Sur
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.
Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.
CVE-2023-32398: Adam Doupé из ASU SEFCOM
LaunchServices
Целевые продукты: macOS Big Sur
Воздействие. Приложение может обойти проверки Gatekeeper.
Описание. Проблема с логикой устранена путем улучшения проверок.
CVE-2023-32352: Wojciech Reguła (@_r3ggi) из SecuRing (wojciechregula.blog)
libxpc
Целевые продукты: macOS Big Sur
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема с логикой устранена путем улучшенного управления состояниями.
CVE-2023-32369: Jonathan Bar Or из корпорации Майкрософт, Anurag Bohra из корпорации Майкрософт и Michael Pearse из корпорации Майкрософт
libxpc
Целевые продукты: macOS Big Sur
Воздействие. Приложение может получить привилегии пользователя root.
Описание. Проблема с логикой устранена путем улучшения проверок.
CVE-2023-32405: Thijs Alkemade (@xnyhps) из Computest Sector 7
Metal
Целевые продукты: macOS Big Sur
Воздействие. Приложение может обойти настройки конфиденциальности.
Описание. Проблема с логикой устранена путем улучшенного управления состояниями.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
Model I/O
Целевые продукты: macOS Big Sur
Воздействие. Обработка 3D-модели может приводить к выполнению произвольного кода.
Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.
CVE-2023-32380: Mickey Jin (@patch1t)
Model I/O
Целевые продукты: macOS Big Sur
Воздействие. Обработка трехмерной модели может привести к раскрытию памяти процесса.
Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.
CVE-2023-32382: Mickey Jin (@patch1t)
NetworkExtension
Целевые продукты: macOS Big Sur
Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-32403: Adam M.
Запись обновлена 21 декабря 2023 г.
PackageKit
Целевые продукты: macOS Big Sur
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема с логикой устранена путем улучшенного управления состояниями.
CVE-2023-32355: Mickey Jin (@patch1t)
Perl
Целевые продукты: macOS Big Sur
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема с логикой устранена путем улучшенного управления состояниями.
CVE-2023-32395: Arsenii Kostromin (0x3c3e)
Quick Look
Целевые продукты: macOS Big Sur
Воздействие. Анализ документа Office может привести к неожиданному завершению работы приложения или выполнению произвольного кода.
Описание. Проблема переполнения буфера решена посредством улучшенной проверки границ.
CVE-2023-32401: Holger Fuhrmannek из Deutsche Telekom Security GmbH от имени BSI (Федерального управления по информационной безопасности Германии)
Запись добавлена 21 декабря 2023 г.
Sandbox
Целевые продукты: macOS Big Sur
Воздействие. Приложение может иметь доступ к файлам конфигурации системы даже после отмены разрешения.
Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.
CVE-2023-32357: Yiğit Can YILMAZ (@yilmazcanyigit), Jeff Johnson, Koh M. Nakagawa из FFRI Security, Inc., Kirin (@Pwnrin) и Csaba Fitzl (@theevilbit) из Offensive Security
Shell
Целевые продукты: macOS Big Sur
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема с логикой устранена путем улучшенного управления состояниями.
CVE-2023-32397: Arsenii Kostromin (0x3c3e)
Telephony
Целевые продукты: macOS Big Sur
Воздействие. Удаленный злоумышленник может выполнить произвольный код или вызвать неожиданное завершение работы приложения.
Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.
CVE-2023-32412: Ivan Fratric из Google Project Zero
Дополнительные благодарности
libxml2
Выражаем благодарность за помощь сервису OSS-Fuzz и Ned Williamson из Google Project Zero.
Reminders
Выражаем благодарность за помощь пользователю Kirin (@Pwnrin).
Security
Выражаем благодарность за помощь James Duffy (mangoSecure).
Wi-Fi
Выражаем благодарность за помощь пользователю Adam M.
Запись обновлена 21 декабря 2023 г.
Wi-Fi Connectivity
Выражаем благодарность за помощь пользователю Adam M.
Запись обновлена 21 декабря 2023 г.