Obsah zabezpečenia v systéme macOS Big Sur 11.6.5

V tomto dokumente sa opisuje obsah zabezpečenia v systéme macOS Big Sur 11.6.5.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

macOS Big Sur 11.6.5

Accelerate Framework

Dostupné pre: macOS Big Sur

Dopad: Otvorenie PDF súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22633: ryuzaki

AppKit

Dostupné pre: macOS Big Sur

Dopad: Apka so škodlivým kódom môže byť schopná získať prístup k oprávneniam správcu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22665: Lockheed Martin Red Team

AppleGraphicsControl

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2022-22631: Wang Yu z tímu Cyberserval

AppleScript

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná čítať vyhradenú pamäť

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2022-22648: Mickey Jin (@patch1t) zo spoločnosti Trend Micro

AppleScript

Dostupné pre: macOS Big Sur

Dopad: Spracovanie binárneho súboru AppleScript so škodlivým kódom môže spôsobiť neočakávané ukončenie apky alebo odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2022-22627: Qi Sun a Robert Ai zo spoločnosti Trend Micro

CVE-2022-22626: Mickey Jin (@patch1t) zo spoločnosti Trend Micro

AppleScript

Dostupné pre: macOS Big Sur

Dopad: Spracovanie binárneho súboru AppleScript so škodlivým kódom môže spôsobiť neočakávané ukončenie apky alebo odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2022-22625: Mickey Jin (@patch1t) zo spoločnosti Trend Micro

AppleScript

Dostupné pre: macOS Big Sur

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22597: Qi Sun a Robert Ai zo spoločnosti Trend Micro

BOM

Dostupné pre: macOS Big Sur

Dopad: Súbor ZIP so škodlivým kódom môže obísť kontroly funkcie Gatekeeper

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2022-22616: Ferdous Saljooki (@malwarezoo) a Jaron Bradley (@jbradley89) zo spoločnosti Jamf Software, Mickey Jin (@patch1t)

CUPS

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-26691: Joshua Mason zo spoločnosti Mandiant

Intel Graphics Driver

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2022-46706: Wang Yu z tímu Cyberserval a Pan ZhenPeng (@Peterpan0927) z tímu Alibaba Security Pandora Lab

Intel Graphics Driver

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2022-22661: Wang Yu z tímu Cyberserval a Pan ZhenPeng (@Peterpan0927) z tímu Alibaba Security Pandora Lab

Kernel

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2022-22613: Alex, anonymný výskumník

Kernel

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2022-22615: Anonymný výskumník

CVE-2022-22614: Anonymný výskumník

Kernel

Dostupné pre: macOS Big Sur

Dopad: Útočník s oprávneniami môže byť schopný vykonať útok zameraný na odmietnutie služby

Popis: Dochádzalo k problému s dereferenciou smerníka s hodnotou NULL, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22638: derrek (@derrekr6)

Kernel

Dostupné pre: macOS Big Sur

Dopad: Apka so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22632: Keegan Saunders

Login Window

Dostupné pre: macOS Big Sur

Dopad: Osoba s prístupom k Macu môže byť schopná obísť prihlasovacie okno

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2022-22647: Yuto Ikeda z Kyushu University

LoginWindow

Dostupné pre: macOS Big Sur

Dopad: Lokálny útočník môže byť schopný zobraziť plochu predtým prihláseného používateľa prostredníctvom obrazovky rýchleho prepínania používateľov

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22656

MobileAccessoryUpdater

Dostupné pre: macOS Big Sur

Dopad: Apka so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2022-22672: Siddharth Aeri (@b1n4r1b01)

PackageKit

Dostupné pre: macOS Big Sur

Dopad: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22617: Mickey Jin (@patch1t)

PackageKit

Dostupné pre: macOS Big Sur

Dopad: Škodlivá apka s oprávneniami správcu môže byť schopná upravovať obsah systémových súborov

Popis: Pri spracúvaní symbolických odkazov dochádzalo k problému, ktorý bol vyriešený vylepšením overovania.

CVE-2022-26688: Mickey Jin (@patch1t) zo spoločnosti Trend Micro

QuickTime Player

Dostupné pre: macOS Big Sur

Dopad: Plugin môže byť schopný prevziať povolenia apky a získať prístup k dátam používateľa

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2022-22650: Wojciech Reguła (@_r3ggi) z tímu SecuRing

Siri

Dostupné pre: macOS Big Sur

Dopad: Osoba s fyzickým prístupom k zariadeniu môže byť schopná použiť Siri na získanie niektorých informácií o polohe zo zamknutej obrazovky

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22599: Andrew Goldberg z University of Texas v Austine, McCombs School of Business (linkedin.com/andrew-goldberg-/)

SMB

Dostupné pre: macOS Big Sur

Dopad: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2022-22651: Felix Poulin-Belanger

WebKit

Dostupné pre: macOS Big Sur

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k odhaleniu citlivých používateľských informácií

Popis: Dochádzalo k problému so správou súborov cookie, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22662: Prakash (@1lastBr3ath) z tímu Threat Nix

WebKit

Dostupné pre: macOS Big Sur

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k odhaleniu citlivých používateľských informácií

Popis: Dochádzalo k problému so správou súborov cookie, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22662: Prakash (@1lastBr3ath) z tímu Threat Nix

xar

Dostupné pre: macOS Big Sur

Dopad: Lokálny používateľ môže byť schopný zapisovať ľubovoľné súbory

Popis: Pri spracovávaní symbolických odkazov dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania symbolických odkazov.

CVE-2022-22582: Richard Warren zo spoločnosti NCC Group

Ďalšie poďakovanie

Intel Graphics Driver

Poďakovanie za pomoc si zaslúžia Jack Dates zo spoločnosti RET2 Systems, Inc. a Yinyi Wu (@3ndy1).

syslog

Poďakovanie za pomoc si zaslúži Yonghwi Jin (@jinmo123) zo spoločnosti Theori.

TCC

Poďakovanie za pomoc si zaslúži Csaba Fitzl (@theevilbit) z tímu Offensive Security.