Сведения об обновлениях системы безопасности Apple
В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Выпуски безопасности Apple.
В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.
Дополнительную информацию о безопасности продуктов Apple см. на этой странице.
macOS Sonoma 14.2
Дата выпуска: 11 декабря 2023 г.
Accessibility
Целевые продукты: macOS Sonoma
Воздействие. Текстовые поля системы безопасности могут быть отображены с помощью клавиатуры универсального доступа при использовании физической клавиатуры.
Описание. Эта проблема устранена путем улучшенного управления состояниями.
CVE-2023-42874: Don Clarke
Accessibility
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.
Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.
CVE-2023-42937: Noah Roskin-Frazee и Prof. J. (ZeroClicks.ai Lab)
Запись добавлена 22 января 2024 г.
Accounts
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.
Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.
CVE-2023-42919: Kirin (@Pwnrin)
AppleEvents
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к информации о контактах пользователя.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-42894: Noah Roskin-Frazee и Prof. J. (ZeroClicks.ai Lab)
AppleGraphicsControl
Целевые продукты: macOS Sonoma
Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения или выполнению произвольного кода.
Описание. Ряд проблем с повреждением данных в памяти устранен путем улучшения проверки ввода.
CVE-2023-42901: Ivan Fratric из Google Project Zero
CVE-2023-42902: Ivan Fratric из Google Project Zero и Michael DePlante (@izobashi) из Trend Micro Zero Day Initiative
CVE-2023-42912: Ivan Fratric из Google Project Zero
CVE-2023-42903: Ivan Fratric из Google Project Zero
CVE-2023-42904: Ivan Fratric из Google Project Zero
CVE-2023-42905: Ivan Fratric из Google Project Zero
CVE-2023-42906: Ivan Fratric из Google Project Zero
CVE-2023-42907: Ivan Fratric из Google Project Zero
CVE-2023-42908: Ivan Fratric из Google Project Zero
CVE-2023-42909: Ivan Fratric из Google Project Zero
CVE-2023-42910: Ivan Fratric из Google Project Zero
CVE-2023-42911: Ivan Fratric из Google Project Zero
CVE-2023-42926: Ivan Fratric из Google Project Zero
AppleVA
Целевые продукты: macOS Sonoma
Воздействие. Обработка изображения может приводить к выполнению произвольного кода.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2023-42882: Ivan Fratric из Google Project Zero
AppleVA
Целевые продукты: macOS Sonoma
Воздействие. Обработка вредоносного файла может приводить к неожиданному завершению работы приложения или выполнению произвольного кода.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2023-42881: Ivan Fratric из Google Project Zero
Запись добавлена 12 декабря 2023 г.
Archive Utility
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.
Описание. Проблема с логикой устранена путем улучшения проверок.
CVE-2023-42924: Mickey Jin (@patch1t)
Assets
Целевые продукты: macOS Sonoma
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема устранена путем улучшенной обработки временных файлов.
CVE-2023-42896: Mickey Jin (@patch1t)
Запись добавлена 22 марта 2024 г.
AVEVideoEncoder
Целевые продукты: macOS Sonoma
Воздействие. Приложение может раскрывать данные из памяти ядра.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-42884: анонимный исследователь
Bluetooth
Целевые продукты: macOS Sonoma
Воздействие. Злоумышленник с привилегированным положением в сети может получить доступ к нажатию клавиш, подделав клавиатуру.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2023-45866: Marc Newlin из SkySafe
CoreMedia Playback
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2023-42900: Mickey Jin (@patch1t)
CoreServices
Целевые продукты: macOS Sonoma
Воздействие. Пользователь может выполнить произвольный код или вызвать неожиданное завершение работы приложения.
Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.
CVE-2023-42886: Koh M. Nakagawa (@tsunek0h)
curl
Целевые продукты: macOS Sonoma
Воздействие. Обнаружен ряд проблем в curl.
Описание. Ряд проблем устранен путем обновления компонента curl до версии 8.4.0.
CVE-2023-38545
CVE-2023-38039
CVE-2023-38546
Запись добавлена 22 января 2024 г., обновлена 13 февраля 2024 г.
DiskArbitration
Целевые продукты: macOS Sonoma
Воздействие. Процесс может получить привилегии администратора без соответствующей идентификации
Описание. Проблема устранена путем улучшенной проверки.
CVE-2023-42931: Yann Gascuel из Alter Solutions
Запись добавлена 22 марта 2024 г.
FileURL
Целевые продукты: macOS Sonoma
Воздействие. Локальный злоумышленник может повысить свои привилегии.
Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.
CVE-2023-42892: Anthony Cruz из App Tyrant Corp
Запись добавлена 22 марта 2024 г.
Find My
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным данным о геопозиции.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-42922: Wojciech Regula из компании SecuRing (wojciechregula.blog)
ImageIO
Целевые продукты: macOS Sonoma
Воздействие. Обработка изображения может приводить к выполнению произвольного кода.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2023-42898: Zhenjiang Zhao из Pangu Team, Qianxin и Junsung Lee
CVE-2023-42899: Meysam Firouzi @R00tkitSMM и Junsung Lee
Запись обновлена 22 марта 2024 г.
ImageIO
Целевые продукты: macOS Sonoma
Воздействие. Обработка вредоносного изображения может привести к раскрытию памяти процесса.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2023-42888: Michael DePlante (@izobashi), сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative
Запись добавлена 22 января 2024 г.
IOKit
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к отслеживанию нажатий клавиш без разрешения пользователя.
Описание. Проблема с аутентификацией устранена путем улучшенного управления состояниями.
CVE-2023-42891: анонимный исследователь
IOUSBDeviceFamily
Целевые продукты: macOS Sonoma
Воздействие. Приложение может выполнять произвольный код с правами ядра.
Описание. Условие состязания устранено путем улучшения обработки состояний.
CVE-2023-42974: Pan ZhenPeng (@Peterpan0927) из STAR Labs SG Pte. Ltd.
Запись добавлена 22 марта 2024 г.
Kernel
Целевые продукты: macOS Sonoma
Воздействие. Приложение может выходить за границы песочницы.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) из Synacktiv (@Synacktiv)
Libsystem
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к защищенным пользовательским данным.
Описание. Проблема с правами доступа была устранена путем удаления уязвимого кода и добавления дополнительных проверок.
CVE-2023-42893
Запись добавлена 22 марта 2024 г.
Model I/O
Целевые продукты: macOS Sonoma
Воздействие. Обработка изображения может приводить к отказу в обслуживании.
Описание. Проблема решена путем удаления уязвимого кода.
CVE-2023-3618
Запись добавлена 22 марта 2024 г.
ncurses
Целевые продукты: macOS Sonoma
Воздействие. Удаленный пользователь может вызвать неожиданное завершение работы приложения или выполнение произвольного кода.
Описание. Проблема устранена путем улучшения проверок.
CVE-2020-19185
CVE-2020-19186
CVE-2020-19187
CVE-2020-19188
CVE-2020-19189
CVE-2020-19190
NSOpenPanel
Целевые продукты: macOS Sonoma
Воздействие. Приложение может считывать произвольные файлы.
Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.
CVE-2023-42887: Ron Masas из BreakPoint.sh
Запись добавлена 22 января 2024 г.
Sandbox
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.
Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.
CVE-2023-42936
Запись добавлена 22 марта 2024 г.
Share Sheet
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.
Описание. Проблема конфиденциальности была устранена путем переноса важных данных в защищенное место.
CVE-2023-40390: Csaba Fitzl (@theevilbit) из Offensive Security и Mickey Jin (@patch1t)
Запись добавлена 22 марта 2024 г.
SharedFileList
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.
Описание. Проблема устранена путем улучшенной проверки.
CVE-2023-42842: анонимный исследователь
Shell
Целевые продукты: macOS Sonoma
Воздействие. Приложение может изменять защищенные области файловой системы.
Описание. Проблема устранена путем улучшения проверок.
CVE-2023-42930: Arsenii Kostromin (0x3c3e)
Запись добавлена 22 марта 2024 г.
System Settings
Целевые продукты: macOS Sonoma
Воздействие. Сеансы удаленного входа могут получать разрешения на полный доступ к диску.
Описание. Эта проблема устранена путем улучшенного управления состояниями.
CVE-2023-42913: Mattie Behrens и Joshua Jewett (@JoshJewett33)
Запись добавлена 22 марта 2024 г.
TCC
Целевые продукты: macOS Sonoma
Воздействие. Приложение может получить доступ к защищенным пользовательским данным.
Описание. Проблема с логикой устранена путем улучшения проверок.
CVE-2023-42932: Zhongquan Li (@Guluisacat)
TCC
Целевые продукты: macOS Sonoma
Воздействие. Приложение может выходить за границы песочницы.
Описание. Проблема с обработкой пути устранена путем улучшенной проверки.
CVE-2023-42947: Zhongquan Li (@Guluisacat) из Dawn Security Lab компании JingDong
Запись добавлена 22 марта 2024 г.
Vim
Целевые продукты: macOS Sonoma
Воздействие. Открытие вредоносного файла может привести к неожиданному завершению работы программы или выполнению произвольного кода.
Описание. Проблема устранена путем обновления Vim до версии 9.0.1969.
CVE-2023-5344
WebKit
Целевые продукты: macOS Sonoma
Воздействие. Обработка веб-содержимого может приводить к выполнению произвольного кода
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
WebKit Bugzilla: 259830
CVE-2023-42890: Pwn2car
WebKit
Целевые продукты: macOS Sonoma
Воздействие. Обработка изображения может приводить к отказу в обслуживании.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
WebKit Bugzilla: 263349
CVE-2023-42883: подразделение Offensive Security компании Zoom
WebKit
Целевые продукты: macOS Sonoma
Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.
Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.
WebKit Bugzilla: 263682
CVE-2023-42950: Nan Wang (@eternalsakura13) из 360 Vulnerability Research Institute и Rushikesh Nandedkar
Запись добавлена 22 марта 2024 г.
WebKit
Целевые продукты: macOS Sonoma
Воздействие. Обработка веб-контента может приводить к отказу в обслуживании.
Описание. Проблема устранена путем улучшения обработки обращений к памяти.
WebKit Bugzilla: 263989
CVE-2023-42956: SungKwon Lee (Demon.Team)
Запись добавлена 22 марта 2024 г.
Дополнительные благодарности
Memoji
Выражаем благодарность за помощь Jerry Tenenbaum.
WebSheet
Выражаем благодарность за помощь пользователю Paolo Ruggero из e-phors S.p.A. (компания FINCANTIERI S.p.A.).
Запись добавлена 22 марта 2024 г.
Wi-Fi
Выражаем благодарность за помощь Noah Roskin-Frazee и Prof. J. (ZeroClicks.ai Lab).