Obsah zabezpečenia v systéme macOS Monterey 12.2

V tomto dokumente sa opisuje obsah zabezpečenia v systéme macOS Monterey 12.2.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

macOS Monterey 12.2

AMD Kernel

Dostupné pre: macOS Monterey

Dopad: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2022-22586: Anonymný výskumník

ColorSync

Dostupné pre: macOS Monterey

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22584: Mickey Jin (@patch1t) (Trend Micro)

Crash Reporter

Dostupné pre: macOS Monterey

Dopad: Škodlivá aplikácia môže byť schopná získať prístup k oprávneniam správcu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22578: Zhipeng Huo (@R3dF09) a Yuebin Sun (@yuebinsun2020) (Tencent Security Xuanwu Lab, xlab.tencent.com)

iCloud

Dostupné pre: macOS Monterey

Dopad: Aplikácia môže byť schopná získať prístup k súborom používateľa

Popis: V logike overovania ciest symbolických odkazov dochádzalo k problému. Tento problém bol vyriešený vylepšením čistenia ciest.

CVE-2022-22585: Zhipeng Huo (@R3dF09) (Tencent Security Xuanwu Lab, https://xlab.tencent.com)

Intel Graphics Driver

Dostupné pre: macOS Monterey

Dopad: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2022-22591: Antonio Zekic (@antoniozekic) (Diverto)

IOMobileFrameBuffer

Dostupné pre: macOS Monterey

Dopad: Apka so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra. Spoločnosť Apple vie o hlásení o tom, že tento problém mohol byť aktívne zneužitý.

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2022-22587: Anonymný výskumník, Meysam Firouzi (@R00tkitSMM) (MBition – Mercedes-Benz Innovation Lab), Siddharth Aeri (@b1n4r1b01)

Kernel

Dostupné pre: macOS Monterey

Dopad: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2022-22593: Peter Nguyễn Vũ Hoàng (STAR Labs)

Model I/O

Dostupné pre: macOS Monterey

Dopad: Spracovanie súboru STL so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22579: Mickey Jin (@patch1t) (Trend Micro)

PackageKit

Dostupné pre: macOS Monterey

Dopad: Aplikácia so škodlivým kódom môže byť schopná upravovať chránené časti súborového systému

Popis: Tento problém bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2022-22646: Mickey Jin (@patch1t), Mickey Jin (@patch1t, Trend Micro)

PackageKit

Dostupné pre: macOS Monterey

Dopad: Apka môže byť schopná vymazať súbory, pri ktorých na to nemá povolenie

Popis: V rozhraní služieb XPC dochádzalo k problému s overovaním obslužného programu udalostí, ktorý bol vyriešený odstránením služby.

CVE-2022-22676: Mickey Jin (@patch1t) (Trend Micro)

PackageKit

Dostupné pre: macOS Monterey

Dopad: Aplikácia môže byť schopná získať prístup k obmedzeným súborom

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený vylepšením overovania.

CVE-2022-22583: Ron Hass (@ronhass7) (Perception Point), Mickey Jin (@patch1t)

WebKit

Dostupné pre: macOS Monterey

Dopad: Spracovanie e-mailovej správy so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu JavaScript

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením čistenia vstupu.

CVE-2022-22589: Heige z tímu KnownSec 404 (knownsec.com) a Bo Qu zo spoločnosti Palo Alto Networks (paloaltonetworks.com)

WebKit

Dostupné pre: macOS Monterey

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2022-22590: Toan Pham (Team Orca, Sea Security, security.sea.com)

WebKit

Dostupné pre: macOS Monterey

Dopad: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2022-22592: Prakash (@1lastBr3ath)

WebKit Storage

Dostupné pre: macOS Monterey

Dopad: Webová stránka môže byť schopná sledovať citlivé používateľské informácie

Popis: V rozhraní IndexDB API dochádzalo k problému so zámenou pôvodu, ktorý bol vyriešný vylepšením overovania vstupu.

CVE-2022-22594: Martin Bajanik (FingerprintJS)

Ďalšie poďakovanie

Kernel

Poďakovanie za pomoc si zaslúži Tao Huang ako nezávislý výskumník.

Metal

Poďakovanie za pomoc si zaslúži Tao Huang.

PackageKit

Poďakovanie za pomoc si zaslúži Mickey Jin (@patch1t) (Trend Micro).

WebKit

Poďakovanie za pomoc si zaslúžia Prakash (@1lastBr3ath) a bo13oy (Cyber Kunlun Lab).