Сведения о проблемах системы безопасности, устраняемых обновлением macOS Sonoma 14

В этой статье описаны проблемы системы безопасности, устраняемые обновлением macOS Sonoma 14.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности продуктов Apple см. на этой странице.

macOS Sonoma 14

Дата выпуска: 26 сентября 2023 г.

Airport

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.

Описание. Проблема с правами доступа устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2023-40384: Adam M.

AMD

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной обработки памяти.

CVE-2023-32377: ABC Research s.r.o.

AMD

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-38615: ABC Research s.r.o.

AppSandbox

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-42929: Mickey Jin (@patch1t)

Запись добавлена 22 декабря 2023 г.

App Store

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Удаленный злоумышленник может выходить за границы песочницы веб-содержимого

Описание. Проблема устранена путем улучшения обработки протоколов.

CVE-2023-40448: пользователь w0wbox

AppleMobileFileIntegrity

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема устранена путем ввода дополнительных проверок разрешений.

CVE-2023-42872: Mickey Jin (@patch1t)

Запись добавлена 22 декабря 2023 г.

Apple Neural Engine

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40432: Mohamed GHANNAM (@_simo36)

CVE-2023-42871: Mohamed GHANNAM (@_simo36)

Запись обновлена 22 декабря 2023 г.

Apple Neural Engine

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может раскрывать данные из памяти ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40399: Mohamed GHANNAM (@_simo36)

Apple Neural Engine

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может раскрывать данные из памяти ядра.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2023-40410: Tim Michaud (@TimGMichaud) из Moveworks.ai

Ask to Buy

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-38612: Chris Ross (Zoom)

Запись добавлена 22 декабря 2023 г.

AuthKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2023-32361: Csaba Fitzl (@theevilbit) из Offensive Security

Bluetooth

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Злоумышленник, находящийся поблизости, может вызвать ограниченную запись за границами выделенной области памяти.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-35984: пользователь zer0k

Bluetooth

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2023-40402: Yiğit Can YILMAZ (@yilmazcanyigit)

Bluetooth

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обходить определенные настройки конфиденциальности.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2023-40426: Yiğit Can YILMAZ (@yilmazcanyigit)

BOM

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка файла может вызывать отказ в обслуживании или раскрывать содержимое памяти.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2023-42876: Koh M. Nakagawa (@tsunek0h)

Запись добавлена 22 декабря 2023 г.

bootp

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.

Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.

CVE-2023-41065: Adam M., а также Noah Roskin-Frazee и профессор Jason Lau (ZeroClicks.ai Lab)

Calendar

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к хранящимся во временном каталоге данным календаря.

Описание. Проблема конфиденциальности была решена путем улучшенной обработки временных файлов.

CVE-2023-29497: Kirin (@Pwnrin) и Yishu Wang

CFNetwork

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может не обеспечить обязательное использование протокола Apple для защиты данных приложений при передаче.

Описание. Проблема устранена путем улучшения обработки протоколов.

CVE-2023-38596: Will Brattain из Trail of Bits

ColorSync

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может считывать произвольные файлы.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-40406: JeongOhKyea из Theori

CoreAnimation

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-контента может приводить к отказу в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40420: 이준성 (Junsung Lee) из Cross Republic

Core Data

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обойти настройки конфиденциальности.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2023-40528: пользователь Kirin (@Pwnrin) из NorthSea

Запись добавлена 22 января 2024 г.

Core Image

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к отредактированным фотографиям, сохраненным во временном каталоге.

Описание. Проблема устранена путем улучшенной обработки временных файлов.

CVE-2023-40438: Wojciech Regula из компании SecuRing (wojciechregula.blog)

Запись добавлена 22 декабря 2023 г.

CoreMedia

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Расширение камеры может иметь доступ к обзору камеры из других приложений, кроме приложения, которому было предоставлено разрешение.

Описание. Проблема с логикой устранена путем улучшения проверок

CVE-2023-41994: Halle Winkler, Politepix @hallewinkler

Запись добавлена 22 декабря 2023 г.

CUPS

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Удаленный злоумышленник может вызывать отказ в обслуживании.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2023-40407: Sei K.

Dev Tools

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить повышенные привилегии.

Описание. Проблема устранена путем улучшения проверок.

CVE-2023-32396: Mickey Jin (@patch1t)

CVE-2023-42933: Mickey Jin (@patch1t)

Запись обновлена 22 декабря 2023 г.

FileProvider

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обойти настройки конфиденциальности.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2023-41980: Noah Roskin-Frazee и проф. Jason Lau (ZeroClicks.ai Lab)

FileProvider

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема устранена путем улучшения защиты данных.

CVE-2023-40411: Noah Roskin-Frazee и Prof. J. (ZeroClicks.ai Lab), а также Csaba Fitzl (@theevilbit) из Offensive Security

Запись добавлена 22 декабря 2023 г.

Game Center

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к контактам.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2023-40395: Csaba Fitzl (@theevilbit) из Offensive Security

GPU Drivers

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может раскрывать данные из памяти ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40391: Antonio Zekic (@antoniozekic) из Dataflow Security

GPU Drivers

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-контента может приводить к отказу в обслуживании.

Описание. Проблема с исчерпанием ресурсов устранена путем улучшенной проверки ввода.

CVE-2023-40441: Ron Masas из Imperva

iCloud

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с правами доступа устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2023-23495: Csaba Fitzl (@theevilbit) из Offensive Security

iCloud Photo Library

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к медиатеке пользователя.

Описание. Проблема конфигурации решена посредством добавления дополнительных ограничений.

CVE-2023-40434: Mikko Kenttälä (@Turmio_) из SensorFu

Image Capture

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Некий процесс в изолированной среде может обойти ограничения изолированной среды.

Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2023-38586: Yiğit Can YILMAZ (@yilmazcanyigit)

IOAcceleratorFamily

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Злоумышленник может вызывать неожиданное завершение работы системы или считывать данные из памяти ядра.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2023-40436: Murray Mike

Kernel

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2023-41995: Certik Skyfall Team и pattern-f (@pattern_F_) из Ant Security Light-Year Lab

CVE-2023-42870: Zweig из Kunlun Lab

Запись обновлена 22 декабря 2023 г.

Kernel

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Злоумышленник, который уже добился выполнения кода в ядре, может обойти меры защиты памяти ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-41981: Linus Henze из Pinauten GmbH (pinauten.de)

Kernel

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-41984: Pan ZhenPeng (@Peterpan0927) из STAR Labs SG Pte. Ltd.

Kernel

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с правами доступа устранена путем улучшения проверки.

CVE-2023-40429: Michael (Biscuit) Thomas и 张师傅 (@京东蓝军)

Kernel

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Удаленный пользователь может вызвать выполнение кода ядра.

Описание. Проблема смешения типов устранена путем улучшенных проверок.

CVE-2023-41060: Joseph Ravichandran (@0xjprx) из MIT CSAIL

Запись добавлена 22 декабря 2023 г.

LaunchServices

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обойти проверки Gatekeeper.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2023-41067: Ferdous Saljooki (@malwarezoo) из Jamf Software и анонимный исследователь

libpcap

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Удаленный пользователь может удаленно выполнить произвольный код или вызвать неожиданное завершение работы приложения.

Описание. Проблема устранена путем улучшения проверок.

CVE-2023-40400: пользователь Sei K.

libxpc

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может удалять файлы, для доступа к которым у него нет разрешения.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2023-40454: Zhipeng Huo (@R3dF09) из компании Tencent Security Xuanwu Lab (xlab.tencent.com)

libxpc

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2023-41073: Zhipeng Huo (@R3dF09) из компании Tencent Security Xuanwu Lab (xlab.tencent.com)

libxslt

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может привести к раскрытию конфиденциальной информации.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40403: Dohyun Lee (@l33d0hyun) из PK Security

Maps

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2023-40427: Adam M. и Wojciech Regula из SecuRing (wojciechregula.blog)

Messages

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может просматривать незащищенные данные пользователей.

Описание. Проблема конфиденциальности была решена путем улучшенной обработки временных файлов.

CVE-2023-32421: Meng Zhang (鲸落) из NorthSea, Ron Masas из BreakPoint Security Research, Brian McNulty и Kishan Bagaria из Texts.com

Model I/O

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка файла может приводить к выполнению произвольного кода.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-42826: Michael DePlante (@izobashi), сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

Запись добавлена 19 октября 2023 г.

Music

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-41986: Gergely Kalman (@gergely_kalman)

NetFSFramework

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Некий процесс в изолированной среде может обойти ограничения изолированной среды.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2023-40455: Zhipeng Huo (@R3dF09) из компании Tencent Security Xuanwu Lab (xlab.tencent.com)

Notes

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может иметь доступ к вложениям в приложении «Заметки».

Описание. Проблема конфиденциальности была решена путем улучшенной обработки временных файлов.

CVE-2023-40386: Kirin (@Pwnrin)

OpenSSH

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обнаружена уязвимость в удаленной переадресации OpenSSH.

Описание. Проблема устранена путем обновления OpenSSH до версии 9.3p2.

CVE-2023-38408: пользователь baba yaga, анонимный исследователь

Запись добавлена 22 декабря 2023 г.

Passkeys

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Злоумышленник может получить доступ к ключам входа без аутентификации.

Описание. Проблема устранена путем ввода дополнительных проверок разрешений.

CVE-2023-40401: пользователь weize she и анонимный исследователь

Запись добавлена 22 декабря 2023 г.

Photos

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Фотографии в альбоме «Скрытые» можно просмотреть без аутентификации.

Описание. Проблема с аутентификацией устранена путем улучшенного управления состояниями.

CVE-2023-40393: анонимный исследователь, Berke Kırbaş и Harsh Jaiswal

Запись добавлена 22 декабря 2023 г.

Photos Storage

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение с правами root может получать доступ к личной информации.

Описание. Проблема утечки информации решена посредством удаления уязвимого кода.

CVE-2023-42934: Wojciech Regula из компании SecuRing (wojciechregula.blog)

Запись добавлена 22 декабря 2023 г.

Power Management

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Пользователь может просматривать содержимое с ограниченным доступом на экране блокировки.

Описание. Проблема с экраном блокировки решена путем улучшения управления состояниями.

CVE-2023-37448: Serkan Erayabakan, David Kotval, Akincibor, Sina Ahmadi из George Mason University и Billy Tabrizi

Запись обновлена 22 декабря 2023 г.

Printing

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может изменять настройки принтера.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2023-38607: Yiğit Can YILMAZ (@yilmazcanyigit)

Запись добавлена 22 декабря 2023 г.

Printing

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема устранена путем улучшения проверок.

CVE-2023-41987: Kirin (@Pwnrin) и Wojciech Regula из компании SecuRing (wojciechregula.blog)

Запись добавлена 22 декабря 2023 г.

Pro Res

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-41063: команда Certik Skyfall

QuartzCore

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может вызывать отказ в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2023-40422: Tomi Tokics (@tomitokics) из iTomsn0w

Safari

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может привести к раскрытию конфиденциальной информации.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-39233: Luan Herrera (@lbherrera_)

Safari

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Safari может сохранять фотографии в незащищенном месте.

Описание. Проблема конфиденциальности была решена путем улучшенной обработки временных файлов.

CVE-2023-40388: Kirin (@Pwnrin)

Safari

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может выявлять другие приложения, установленные пользователем.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-35990: Adriatik Raci из Sentry Cybersecurity

Safari

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Посещение веб-сайта, через который распространяется вредоносный контент, может привести к подмене пользовательского интерфейса.

Описание. Проблема с управлением окнами устранена путем улучшения управления состояниями.

CVE-2023-40417: Narendra Bhati (twitter.com/imnarendrabhati) из Suma Soft Pvt. Ltd, Пуна (Индия)

Запись обновлена 22 декабря 2023 г.

Sandbox

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может перезаписывать произвольные файлы.

Описание. Проблема устранена путем улучшенной проверки границ.

CVE-2023-40452: Yiğit Can YILMAZ (@yilmazcanyigit)

Sandbox

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к удаляемым томам без согласия пользователя.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2023-40430: Yiğit Can YILMAZ (@yilmazcanyigit)

Запись добавлена 22 декабря 2023 г.

Sandbox

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложения, которые не прошли проверки подтверждения, все еще можно запустить.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-41996: Mickey Jin (@patch1t) и Yiğit Can YILMAZ (@yilmazcanyigit)

Запись добавлена 22 декабря 2023 г.

Screen Sharing

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обходить определенные настройки конфиденциальности.

Описание. Проблема с авторизацией устранена путем улучшенного управления состояниями.

CVE-2023-41078: Zhipeng Huo (@R3dF09) из компании Tencent Security Xuanwu Lab (xlab.tencent.com)

Share Sheet

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным данным, когда пользователь делится ссылкой.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2023-41070: Kirin (@Pwnrin)

Shortcuts

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. При использовании сочетания клавиш может происходить вывод конфиденциальных данных без согласия пользователя.

Описание. Эта проблема была устранена посредством добавления дополнительного запроса для подтверждения согласия пользователя.

CVE-2023-40541: Noah Roskin-Frazee (ZeroClicks.ai Lab) и James Duffy (mangoSecure)

Shortcuts

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обойти настройки конфиденциальности.

Описание. Проблема устранена путем улучшения логики разрешений.

CVE-2023-41079: Ron Masas из BreakPoint.sh и анонимный исследователь

Spotlight

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить привилегии пользователя root.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-40443: Gergely Kalman (@gergely_kalman)

Запись добавлена 22 декабря 2023 г.

StorageKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может считывать произвольные файлы.

Описание. Проблема устранена путем улучшенной проверки символьных ссылок.

CVE-2023-41968: Mickey Jin (@patch1t) и James Hutchins

System Preferences

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может обойти проверки Gatekeeper.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-40450: Thijs Alkemade (@xnyhps) из Computest Sector 7

TCC

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2023-40424: Arsenii Kostromin (0x3c3e), Joshua Jewett (@JoshJewett33), а также Csaba Fitzl (@theevilbit) из Offensive Security

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

WebKit Bugzilla: 249451
CVE-2023-39434: Francisco Alonso (@revskills), а также Dohyun Lee (@l33d0hyun) из PK Security

WebKit Bugzilla: 258992
CVE-2023-40414: Francisco Alonso (@revskills)

Запись обновлена 22 декабря 2023 г.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода

Описание. Проблема устранена путем улучшенной проверки.

WebKit Bugzilla: 256551
CVE-2023-41074: 이준성 (Junsung Lee) из Cross Republic и Jie Ding (@Lime) из HKUS3 Lab

Запись обновлена 22 декабря 2023 г.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

WebKit Bugzilla: 239758
CVE-2023-35074: Dong Jun Kim (@smlijun) и Jong Seong Kim (@nevul37) из Ajou University Abysslab

Запись обновлена 22 декабря 2023 г.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода. Apple известно о том, что эта проблема могла активно использоваться в версиях iOS, выпущенных до iOS 16.7.

Описание. Проблема устранена путем улучшенной проверки.

WebKit Bugzilla: 261544
CVE-2023-41993: Bill Marczak из Citizen Lab из школы Мунка при Университете Торонто и Maddie Stone из Threat Analysis Group в Google.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Функция VoiceOver может зачитывать вслух пароль пользователя.

Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.

WebKit Bugzilla: 248717
CVE-2023-32359: Claire Houston

Запись добавлена 22 декабря 2023 г.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Удаленный злоумышленник может просматривать запросы DNS, полученные в результате утечки, при включенной функции «Частный узел».

Описание. Проблема решена путем удаления уязвимого кода.

WebKit Bugzilla: 257303
CVE-2023-40385: анонимный пользователь

Запись добавлена 22 декабря 2023 г.

WebKit

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода

Описание. Проблема с правильностью устранена путем улучшения проверок.

WebKit Bugzilla: 258592
CVE-2023-42833: Dong Jun Kim (@smlijun) и Jong Seong Kim (@nevul37) из AbyssLab

Запись добавлена 22 декабря 2023 г.

Wi-Fi

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может вызывать неожиданное завершение работы системы или записывать данные в память ядра.

Описание. Проблема с повреждением данных в памяти устранена путем удаления уязвимого кода.

CVE-2023-38610: Wang Yu из CyberServal

Запись добавлена 22 декабря 2023 г.

Windows Server

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может вызывать непредвиденную утечку учетных данных пользователя из защищенных текстовых полей.

Описание. Проблема с аутентификацией устранена путем улучшенного управления состояниями.

CVE-2023-41066: анонимный исследователь, Jeremy Legendre из MacEnhance и Felix Kratz

Запись обновлена 22 декабря 2023 г.

XProtectFramework

Целевые продукты: Mac Studio (2022 г. и более поздние модели), iMac (2019 г. и более поздние модели), Mac Pro (2019 г. и более поздние модели), Mac mini (2018 г. и более поздние модели), MacBook Air (2018 г. и более поздние модели), MacBook Pro (2018 г. и более поздние модели) и iMac Pro (2017 г.)

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Условие состязания устранено путем улучшения блокировки.

CVE-2023-41979: Koh M. Nakagawa (@tsunek0h)

 

Дополнительные благодарности

Airport

Выражаем благодарность за помощь Adam M., Noah Roskin-Frazee и проф. Jason Lau (ZeroClicks.ai Lab).

AppKit

Выражаем благодарность за помощь анонимному исследователю.

Apple Neural Engine

Выражаем благодарность за помощь pattern-f (@pattern_F_) из Ant Security Light-Year Lab. 

Запись добавлена 22 декабря 2023 г.

AppSandbox

Выражаем благодарность за помощь пользователю Kirin (@Pwnrin).

Archive Utility

Выражаем благодарность за помощь Mickey Jin (@patch1t).

Audio

Выражаем благодарность за помощь Mickey Jin (@patch1t).

Bluetooth

Выражаем благодарность за помощь Jianjun Dai и Guang Gong из 360 Vulnerability Research Institute.

Books

Выражаем благодарность за помощь Aapo Oksman из Nixu Cybersecurity.

Запись добавлена 22 декабря 2023 г.

Control Center

Выражаем благодарность за помощь Yiğit Can YILMAZ (@yilmazcanyigit).

Запись добавлена 22 декабря 2023 г.

Core Location

Выражаем благодарность за помощь Wouter Hennen.

CoreMedia Playback

Выражаем благодарность за помощь Mickey Jin (@patch1t). 

CoreServices

Выражаем благодарность за помощь Thijs Alkemade из Computest Sector 7, Wojciech Reguła (@_r3ggi) из SecuRing и анонимному исследователю.

Запись добавлена 22 декабря 2023 г.

Data Detectors UI

Выражаем благодарность за помощь Abhay Kailasia (@abhay_kailasia) из Технологического колледжа Лакшми Нараина.

Find My

Выражаем благодарность за помощь Cher Scarlett.

Home

Выражаем благодарность за помощь Jake Derouin (jakederouin.com).

IOGraphics

Выражаем благодарность за помощь анонимному исследователю.

IOUserEthernet

Выражаем благодарность за помощь Certik Skyfall Team.

Запись добавлена 22 декабря 2023 г.

Kernel

Выражаем благодарность за помощь Bill Marczak из The Citizen Lab из школы Мунка при Университете Торонто и Maddie Stone из Threat Analysis Group в Google, Xinru Chi из Pangu Lab, 永超 王.

libxml2

Выражаем благодарность за помощь сервису OSS-Fuzz и Ned Williamson из Google Project Zero.

libxpc

Выражаем благодарность за помощь анонимному исследователю.

libxslt

Выражаем благодарность за помощь Dohyun Lee (@l33d0hyun) из PK Security, OSS-Fuzz, Ned Williamson из Google Project Zero.

Mail

Выражаем благодарность за помощь Taavi Eomäe из Zone Media OÜ.

Запись добавлена 22 декабря 2023 г.

Menus

Выражаем благодарность за помощь Matthew Denton из Google Chrome Security.

Запись добавлена 22 декабря 2023 г.

Model I/O

Выражаем благодарность за помощь Mickey Jin (@patch1t).

NSURL

Выражаем благодарность за помощь Zhanpeng Zhao (行之), 糖豆爸爸(@晴天组织).

PackageKit

Выражаем благодарность за помощь Csaba Fitzl (@theevilbit) из Offensive Security и анонимному исследователю.

Photos

Выражаем благодарность за помощь Anatolii Kozlov, Dawid Pałuska, Kirin (@Pwnrin), Lyndon Cornelius, Paul Lurin.

Power Services

Выражаем благодарность за помощь Mickey Jin (@patch1t).

Запись добавлена 22 декабря 2023 г.

Reminders

Выражаем благодарность за помощь Paweł Szafirowski.

Safari

Выражаем благодарность за помощь Kang Ali из Punggawa Cyber Security.

Sandbox

Выражаем благодарность за помощь Yiğit Can YILMAZ (@yilmazcanyigit).

SharedFileList

Выражаем благодарность за помощь Christopher Lopez (@L0Psec) и Kandji, Leo Pitt из Zoom Video Communications, Masahiro Kawada (@kawakatz) из GMO Cybersecurity by Ierae, а также Ross Bingham (@PwnDexter).

Запись обновлена 22 декабря 2023 г.

Shortcuts

Выражаем благодарность за помощь пользователям Alfie CG, Christian Basting из Bundesamt für Sicherheit in der Informationstechnik, Cristian Dinca из Национальной средней школы компьютерных наук Tudor Vianu (Румыния), Giorgos Christodoulidis, Jubaer Alnazi из TRS Group Of Companies, KRISHAN KANT DWIVEDI (@xenonx7) и Matthew Butler.

Запись обновлена 24 апреля 2024 г.

Software Update

Выражаем благодарность за помощь Omar Siman.

Spotlight

Выражаем благодарность за помощь Abhay Kailasia (@abhay_kailasia) из Технологического колледжа Лакшми Нараина, Dawid Pałuska.

StorageKit

Выражаем благодарность за помощь Mickey Jin (@patch1t). 

Video Apps

Выражаем благодарность за помощь James Duffy (mangoSecure).

WebKit

Выражаем благодарность за помощь Khiem Tran, а также Narendra Bhati из Suma Soft Pvt. Ltd, Пуна (Индия) и анонимному исследователю.

WebRTC

Выражаем благодарность за помощь анонимному исследователю.

Wi-Fi

Выражаем благодарность за помощь Adam M. и Wang Yu из Cyberserval.

Запись обновлена 22 декабря 2023 г.

 

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.

Дата публикации: