Obsah zabezpečenia v systéme macOS Big Sur 11.0.1

V tomto dokumente sa popisuje obsah zabezpečenia v systéme macOS Big Sur 11.0.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

macOS Big Sur 11.0.1

Dátum vydania: 12. novembra 2020

AMD

Dostupné pre: Mac Pro (2013 a novší), MacBook Air (2013 a novší), MacBook Pro (koniec roka 2013 a novší), Mac mini (2014 a novší), iMac (2014 a novší), MacBook (2015 a novší) a iMac Pro (všetky modely)

Dosah: Aplikácia so škodlivým kódom môže byť schopná spustiť ľubovoľný kód so systémovými oprávneniami

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27914: Yu Wang (Didi Research America)

CVE-2020-27915: Yu Wang (Didi Research America)

Dátum pridania záznamu: 14. decembra 2020

App Store

Dosah: Aplikácia môže byť schopná získať oprávnenia vyššej úrovne

Popis: Tento problém bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2020-27903: Zhipeng Huo (@R3dF09) z tímu Security Xuanwu Lab spoločnosti Tencent

Audio

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27910: JunDong Xie a XingWei Lin z tímu Ant Security Light-Year Lab

Audio

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27916: JunDong Xie z tímu Ant Security Light-Year Lab

Audio

Dosah: Aplikácia so škodlivým kódom môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9943: JunDong Xie z tímu Ant Group Light-Year Security Lab

Audio

Dosah: Aplikácia môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9944: JunDong Xie z tímu Ant Group Light-Year Security Lab

Bluetooth

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie aplikácie alebo poškodenie haldy

Popis: Dochádzalo k viacerým problémom s pretečením celočíselných hodnôt, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2020-27906: Zuozhi Fan (@pattern_F_) z tímu Ant Group Tianqiong Security Lab

CFNetwork Cache

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením celočíselných hodnôt, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27945: Zhuo Liang z tímu Qihoo 360 Vulcan Team

Dátum pridania záznamu: 16. marca 2021

CoreAudio

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27908: JunDong Xie a XingWei Lin z tímu Ant Security Light-Year Lab

CVE-2020-27909: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro, JunDong Xie a XingWei Lin z tímu Ant Security Light-Year Lab

CVE-2020-9960: JunDong Xie a Xingwei Lin z tímu Ant Security Light-Year Lab

Dátum pridania záznamu: 14. decembra 2020

CoreAudio

Dosah: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-10017: Francis v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro, JunDong Xie z tímu Ant Security Light-Year Lab

CoreCapture

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9949: Proteas

CoreGraphics

Dosah: Spracovanie PDF súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9897: S.Y. zo spoločnosti ZecOps Mobile XDR, anonymný výskumník

Dátum pridania záznamu: 25. októbra 2021

CoreGraphics

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9883: Anonymný výskumník, Mickey Jin zo spoločnosti Trend Micro

Crash Reporter

Dosah: Lokálny útočník môže byť schopný zvýšiť úroveň svojich oprávnení

Popis: V logike overovania ciest symbolických odkazov dochádzalo k problému. Tento problém bol vyriešený vylepšením čistenia ciest.

CVE-2020-10003: Tim Michaud (@TimGMichaud) z tímu Leviathan

CoreText

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-27922: Mickey Jin zo spoločnosti Trend Micro

Dátum pridania záznamu: 14. decembra 2020

CoreText

Dosah: Spracovanie textového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9999: Apple

Dátum aktualizácie záznamu: 14. decembra 2020

Directory Utility

Dosah: Aplikácia so škodlivým kódom môže byť schopná získať prístup k súkromným údajom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-27937: Wojciech Reguła (@_r3ggi) zo spoločnosti SecuRing

Dátum pridania záznamu: 16. marca 2021

Disk Images

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9965: Proteas

CVE-2020-9966: Proteas

Finder

Dosah: Používatelia nemusia byť schopní odstrániť metadáta s informáciami o tom, odkiaľ boli súbory stiahnuté

Popis: Tento problém bol vyriešený pridaním kontrol používateľov.

CVE-2020-27894: Manuel Trezza z tímu Shuggr (shuggr.com)

FontParser

Dosah: Spracovanie písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-36615: Peter Nguyen Hoang Vu (@peternguyen14, STAR Labs)

Dátum pridania záznamu: 11. mája 2023

FontParser

Dosah: Spracovanie textového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2021-1790: Peter Nguyen Vu Hoang (STAR Labs)

Dátum pridania záznamu: 25. mája 2022

FontParser

Dosah: Spracovanie písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Tento problém bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2021-1775: Mickey Jin a Qi Sun (Trend Micro) v spolupráci s Trend Micro Zero Day Initiative

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dosah: Aplikácia so škodlivým kódom môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-29629: Anonymný výskumník

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-27942: Anonymný výskumník

Dátum pridania záznamu: 25. októbra 2021

FontParser

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením zásobníka, ktorý bol vyriešený vylepšením overovania veľkosti.

CVE-2020-9962: Yiğit Can YILMAZ (@yilmazcanyigit)

Dátum pridania záznamu: 14. decembra 2020

FontParser

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27952: Anonymný výskumník, Mickey Jin a Junzhi Lu (Trend Micro)

Dátum pridania záznamu: 14. decembra 2020

FontParser

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9956: Mickey Jin a Junzhi Lu z tímu Mobile Security Research Team spoločnosti Trend Micro v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Dátum pridania záznamu: 14. decembra 2020

FontParser

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní súborov písiem dochádzalo k problému súvisiacemu s poškodením pamäte. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2020-27931: Apple

Dátum pridania záznamu: 14. decembra 2020

FontParser

Dosah: Spracovanie písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu. Spoločnosť Apple vie o hláseniach o tom, že tento problém možno zneužiť.

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27930: Google Project Zero

FontParser

Dosah: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-27927: Xingwei Lin z tímu Ant Security Light-Year Lab

FontParser

Dopad: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-29639: Mickey Jin a Qi Sun zo spoločnosti Trend Micro v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Dátum pridania záznamu: 21. júla 2021

Foundation

Dosah: Lokálny používateľ môže byť schopný čítať ľubovoľné súbory

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-10002: James Hutchins

HomeKit

Dosah: Útočník s oprávneniami v sieti môže byť schopný neočakávane upraviť stav aplikácie

Popis: Tento problém bol vyriešený vylepšením šírenia nastavení.

CVE-2020-9978: Luyi Xing, Dongfang Zhao a Xiaofeng Wang (Indiana University Bloomington), Yan Jia (Xidian University a University of Chinese Academy of Sciences) a Bin Yuan (HuaZhong University of Science and Technology)

Dátum pridania záznamu: 14. decembra 2020

ImageIO

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9955: Mickey Jin zo spoločnosti Trend Micro, XingWei Lin z tímu Ant Security Light-Year Lab

Dátum pridania záznamu: 14. decembra 2020

ImageIO

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27924: Lei Sun

Dátum pridania záznamu: 14. decembra 2020

ImageIO

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27912: XingWei Lin (Ant Security Light-Year Lab)

CVE-2020-27923: Lei Sun

Dátum aktualizácie záznamu: 14. decembra 2020

ImageIO

Dopad: Otvorenie PDF súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-9876: Mickey Jin zo spoločnosti Trend Micro

Intel Graphics Driver

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-10015: ABC Research s.r.o. v spolupráci s Trend Micro Zero Day Initiative

CVE-2020-27897: Xiaolong Bai a Min (Spark) Zheng (Alibaba Inc.) a Luyi Xing (Indiana University Bloomington)

Dátum pridania záznamu: 14. decembra 2020

Intel Graphics Driver

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2020-27907: Spoločnosť ABC Research s.r.o. v spolupráci s Trend Micro Zero Day Initiative, Liu Long (Ant Security Light-Year Lab)

Dátum pridania záznamu: 14. decembra 2020, dátum aktualizácie: 16. marca 2021

Image Processing

Dosah: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27919: Hou JingYi (@hjy79425575) (Qihoo 360 CERT), XingWei Lin (Ant Security Light-Year Lab)

Dátum pridania záznamu: 14. decembra 2020

Kernel

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2020-9967: Alex Plaskett (@alexjplaskett)

Dátum pridania záznamu: 14. decembra 2020

Kernel

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9975: Tielei Wang z tímu Pangu Lab

Dátum pridania záznamu: 14. decembra 2020

Kernel

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2020-27921: Linus Henze (pinauten.de)

Dátum pridania záznamu: 14. decembra 2020

Kernel

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s logikou, ktorý spôsoboval poškodenie pamäte. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2020-27904: Zuozhi Fan (@pattern_F_) z tímu Ant Group Tianqong Security Lab

Kernel

Dosah: Útočník s oprávneniami v sieti môže byť schopný vložiť kód do aktívnych pripojení v rámci tunela VPN

Popis: Dochádzalo k problému so smerovaním, ktorý bol vyriešený vylepšením obmedzení.

CVE-2019-14899: William J. Tolley, Beau Kujath a Jedidiah R. Crandall

Kernel

Dosah: Aplikácia so škodlivým kódom môže byť schopná odhaliť obsah pamäte jadra. Spoločnosť Apple vie o hláseniach o tom, že tento problém možno zneužiť.

Popis: Bol vyriešený problém s inicializáciou pamäte.

CVE-2020-27950: Google Project Zero

Kernel

Dosah: Aplikácia so škodlivým kódom môže byť schopná určiť rozloženie pamäte jadra

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9974: Tommy Muir (@Muirey03)

Kernel

Dosah: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-10016: Alex Helie

Kernel

Dosah: Aplikácia so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra. Spoločnosť Apple vie o hláseniach o tom, že tento problém možno zneužiť.

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2020-27932: Google Project Zero

libxml2

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-27917: Nájdené programom OSS-Fuzz

CVE-2020-27920: Nájdené programom OSS-Fuzz

Dátum aktualizácie záznamu: 14. decembra 2020

libxml2

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie aplikácie alebo spustenie ľubovoľného kódu

Popis: Dochádzalo k problému s pretečením celočíselných hodnôt, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-27911: Nájdené programom OSS-Fuzz

libxpc

Dosah: Aplikácia so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2020-9971: Zhipeng Huo (@R3dF09) z tímu Security Xuanwu Lab spoločnosti Tencent

Dátum pridania záznamu: 14. decembra 2020

libxpc

Dosah: Škodlivá aplikácia môže byť schopná pracovať mimo svojho izolovaného priestoru

Popis: Dochádzalo k problému s analýzou pri spracovávaní ciest adresárov, ktorý bol vyriešený vylepšením overovania ciest.

CVE-2020-10014: Zhipeng Huo (@R3dF09) (Tencent Security Xuanwu Lab)

Logging

Dosah: Lokálny útočník môže byť schopný zvýšiť úroveň svojich oprávnení

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením overovania.

CVE-2020-10010: Tommy Muir (@Muirey03)

Mail

Dosah: Vzdialený útočník môže byť schopný neočakávane upraviť stav aplikácie

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-9941: Fabian Ising z Univerzity aplikovaných vied FH Münster a Damian Poddebniak z Univerzity aplikovaných vied FH Münster

Messages

Dosah: Lokálny používateľ môže byť schopný odhaliť správy, ktoré používateľ vymazal

Popis: Tento problém bol vyriešený vylepšením vymazávania.

CVE-2020-9988: William Breuer z Holandska

CVE-2020-9989: von Brunn Media

Model I/O

Dosah: Spracovanie súboru USD so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2020-10011: Aleksandar Nikolic (Cisco Talos)

Dátum pridania záznamu: 14. decembra 2020

Model I/O

Dosah: Spracovanie súboru USD so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-13524: Aleksandar Nikolic zo spoločnosti Cisco Talos

Model I/O

Dosah: Otvorenie súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu aplikácie alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-10004: Aleksandar Nikolic zo spoločnosti Cisco Talos

NetworkExtension

Dosah: Aplikácia so škodlivým kódom môže byť schopná zvýšiť úroveň oprávnení

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9996: Zhiwei Yuan z tímu iCore spoločnosti Trend Micro, Junzhi Lu a Mickey Jin zo spoločnosti Trend Micro

NSRemoteView

Dosah: Izolovaný proces môže byť schopný obísť obmedzenia izolovaného priestoru

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-27901: Thijs Alkemade (Computest Research Division)

Dátum pridania záznamu: 14. decembra 2020

NSRemoteView

Dosah: Aplikácia so škodlivým kódom môže byť schopná zobraziť náhľad súborov, ku ktorým nemá prístup

Popis: Pri spracovávaní snímok dochádzalo k problému. Tento problém bol vyriešený vylepšením logiky povolení.

CVE-2020-27900: Thijs Alkemade z divízie výskumu spoločnosti Computest

PCRE

Dosah: Viacero problémov v súčasti pcre

Popis: Dochádzalo k viacerým problémom, ktoré boli vyriešené aktualizovaním na verziu 8.44.

CVE-2019-20838

CVE-2020-14155

Power Management

Dosah: Aplikácia so škodlivým kódom môže byť schopná určiť rozloženie pamäte jadra

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-10007: singi@theori v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

python

Dosah: Súbory cookie z jednej domény sa môžu odoslať na inú doménu

Popis: Niekoľko problémov bolo vyriešených vylepšením logiky.

CVE-2020-27896: Anonymný výskumník

Quick Look

Dosah: Aplikácia so škodlivým kódom môže byť schopná určiť existenciu súborov v počítači

Popis: Tento problém bol vyriešený vylepšením spracovania vyrovnávacích pamätí ikon.

CVE-2020-9963: Csaba Fitzl (@theevilbit) zo spoločnosti Offensive Security

Quick Look

Dosah: Spracovanie dokumentu so škodlivým kódom môže viesť k útoku využívajúcemu skriptovanie medzi lokalitami (XSS)

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený vylepšením obmedzení prístupu.

CVE-2020-10012: Heige (KnownSec 404 Team, knownsec.com) a Bo Qu (Palo Alto Networks, paloaltonetworks.com)

Dátum aktualizácie záznamu: 16. marca 2021

Ruby

Dosah: Vzdialený útočník môže byť schopný upraviť súborový systém

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením overovania.

CVE-2020-27896: Anonymný výskumník

Ruby

Dosah: Pri analýze určitých dokumentov JSON môže byť gem „json“ donútený k vytvoreniu ľubovoľných objektov v cieľovom systéme

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-10663: Jeremy Evans

Safari

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Pri spracovávaní URL adries dochádzalo k problému s falšovaním. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2020-9945: Narendra Bhati (Suma Soft Pvt.) Ltd. v Pune (India) @imnarendrabhati

Safari

Dosah: Aplikácia so škodlivým kódom môže byť schopná určiť otvorené taby používateľa v Safari

Popis: Pri overovaní oprávnení dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania oprávnení procesov.

CVE-2020-9977: Josh Parnham (@joshparnham)

Safari

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9942: Anonymný výskumník, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) z The City School, PAF Chapter, Ruilin Yang z tímu Security Xuanwu Lab spoločnosti Tencent, YoKo Kho (@YoKoAcc) zo spoločnosti PT Telekomunikasi Indonesia (Persero) Tbk, Zhiyang Zeng (@Wester) z tímu OPPO ZIWU Security Lab

Safari

Dopad: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu

Popis: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou.

CVE-2020-9987: Rafay Baloch (cybercitadel.com) zo spoločnosti Cyber Citadel

Dátum pridania záznamu: 21. júla 2021

Sandbox

Dopad: Lokálna apka môže byť schopná zistiť počet dokumentov používateľa v iCloude

Popis: Tento problém bol vyriešený vylepšením logiky povolení.

CVE-2021-1803: Csaba Fitzl (@theevilbit) zo spoločnosti Offensive Security

Dátum pridania záznamu: 16. marca 2021

Sandbox

Dosah: Lokálny používateľ môže byť schopný zobraziť citlivé používateľské informácie

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený používaním ďalších obmedzení izolovaného priestoru.

CVE-2020-9969: Wojciech Reguła z tímu SecuRing (wojciechregula.blog)

Screen Sharing

Dopad: Používateľ s prístupom k zdieľaniu obrazovky môže byť schopný zobraziť obrazovku iného používateľa

Popis: Dochádzalo k problému v zdieľaní obrazovky. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2020-27893: pcsgomes

Dátum pridania záznamu: 16. marca 2021

Siri

Dosah: Osoba s fyzickým prístupom k zariadeniu so systémom iOS môže byť schopná získať prístup ku kontaktom zo zamknutej plochy

Popis: Problém so zamknutou obrazovkou umožňoval získať prístup ku kontaktom v zamknutom zariadení. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2021-1755: Yuval Ron, Amichai Shulman a Eli Biham z univerzity Technion – Izraelský technologický inštitút

Dátum pridania záznamu: 16. marca 2021

smbx

Dosah: Útočník s oprávneniami v sieti môže byť schopný spôsobiť odmietnutie služby

Popis: Dochádzalo k problému súvisiacemu s vyčerpaním prostriedkov, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-10005: Apple

Dátum pridania záznamu: 25. októbra 2021

SQLite

Dopad: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-9991

SQLite

Dosah: Vzdialený útočník môže byť schopný spôsobiť únik pamäte

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9849

SQLite

Dosah: Viacero problémov v súčasti SQLite

Popis: Dochádzalo k viacerým problémom, ktoré boli vyriešené vylepšením kontrol.

CVE-2020-15358

SQLite

Dosah: Spracovanie dotazu SQL so škodlivým kódom môže viesť k poškodeniu dát

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-13631

SQLite

Dopad: Vzdialený útočník môže byť schopný spôsobiť odmietnutie služby

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2020-13434

CVE-2020-13435

CVE-2020-9991

SQLite

Dosah: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného kódu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-13630

Symptom Framework

Dosah: Lokálny útočník môže byť schopný zvýšiť úroveň svojich oprávnení

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-27899: 08Tc3wBB v spolupráci so spoločnosťou ZecOps

Dátum pridania záznamu: 14. decembra 2020

System Preferences

Dosah: Izolovaný proces môže byť schopný obísť obmedzenia izolovaného priestoru

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-10009: Thijs Alkemade z divízie výskumu spoločnosti Computest

TCC

Dosah: Aplikácia so škodlivým kódom a oprávneniami koreňového používateľa môže byť schopná získať prístup k súkromným informáciám

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-10008: Wojciech Reguła z tímu SecuRing (wojciechregula.blog)

Dátum pridania záznamu: 14. decembra 2020

WebKit

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-27918: Liu Long z tímu Ant Security Light-Year Lab

Dátum aktualizácie záznamu: 14. decembra 2020

WebKit

Dopad: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte

Popis: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu.

CVE-2020-9947: cc v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2020-9950: cc v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Dátum pridania záznamu: 21. júla 2021

Wi-Fi

Dosah: Útočník môže byť schopný obísť funkciu Managed Frame Protection

Popis: Dochádzalo k problému s odmietnutím služby, ktorý bol vyriešený vylepšením spracovania stavu.

CVE-2020-27898: Stephan Marais z Johannesburskej univerzity

XNU

Dosah: Izolovaný proces môže byť schopný obísť obmedzenia izolovaného priestoru

Popis: Niekoľko problémov bolo vyriešených vylepšením logiky.

CVE-2020-27935: Lior Halphon (@LIJI32)

Dátum pridania záznamu: 17. decembra 2020

Xsan

Dosah: Aplikácia so škodlivým kódom môže byť schopná získať prístup k súborom s obmedzeným prístupom

Popis: Tento problém bol vyriešený vylepšením autorizácie.

CVE-2020-10006: Wojciech Reguła (@_r3ggi) zo spoločnosti SecuRing

Ďalšie poďakovanie

802.1X

Poďakovanie za pomoc si zaslúžia Kenana Dalle z Univerzity Hamada bin Chalífa a Ryan Riley z Carnegie Mellon University v Katare.

Dátum pridania záznamu: 14. decembra 2020

Audio

Poďakovanie za pomoc si zaslúžia JunDong Xie a XingWei Lin z tímu Ant-Financial Light-Year Security Lab a Marc Schoenefeld Dr. rer. nat.

Dátum aktualizácie záznamu: 16. marca 2021

Bluetooth

Poďakovanie za pomoc si zaslúžia Andy Davis zo spoločnosti NCC Group a Dennis Heinze (@ttdennis) z tímu Secure Mobile Networking Lab na Technickej univerzite v Darmstadte.

Dátum aktualizácie záznamu: 14. decembra 2020

Clang

Poďakovanie za pomoc si zaslúži Brandon Azad z tímu Google Project Zero.

Core Location

Poďakovanie za pomoc si zaslúži Yiğit Can YILMAZ (@yilmazcanyigit).

Crash Reporter

Poďakovanie za pomoc si zaslúži Artur Byszko zo spoločnosti AFINE.

Dátum pridania záznamu: 14. decembra 2020

Directory Utility

Poďakovanie za pomoc si zaslúži Wojciech Reguła (@_r3ggi) zo spoločnosti SecuRing.

iAP

Poďakovanie za pomoc si zaslúži Andy Davis zo spoločnosti NCC Group.

Kernel

Poďakovanie za pomoc si zaslúžia Brandon Azad z tímu Google Project Zero a Stephen Röttger zo spoločnosti Google.

libxml2

Poďakovanie za pomoc si zaslúži anonymný výskumník.

Dátum pridania záznamu: 14. decembra 2020

Login Window

Poďakovanie za pomoc si zaslúži Rob Morton zo spoločnosti Leidos.

Dátum pridania záznamu: 16. marca 2021

Login Window

Poďakovanie za pomoc si zaslúži Rob Morton zo spoločnosti Leidos.

Photos Storage

Poďakovanie za pomoc si zaslúži Paulos Yibelo zo spoločnosti LimeHats.

Quick Look

Poďakovanie za pomoc si zaslúžia Csaba Fitzl (@theevilbit) a Wojciech Reguła (wojciechregula.blog) zo spoločnosti SecuRing.

Safari

Poďakovanie za pomoc si zaslúžia Gabriel Corona a Narendra Bhati zo spoločnosti Suma Soft Pvt. Ltd. v Pune (India) @imnarendrabhati.

Sandbox

Poďakovanie za pomoc si zaslúži Saagar Jha.

Dátum pridania záznamu: 11. mája 2023

Security

Poďakovanie za pomoc si zaslúži Christian Starkjohann zo spoločnosti Objective Development Software GmbH.

System Preferences

Poďakovanie za pomoc si zaslúži Csaba Fitzl (@theevilbit) z tímu Offensive Security.

Dátum pridania záznamu: 16. marca 2021

System Preferences

Poďakovanie za pomoc si zaslúži Csaba Fitzl (@theevilbit) z tímu Offensive Security.

WebKit

Maximilian Blochberger z tímu Security in Distributed Systems Group na Hamburskej univerzite

Dátum pridania záznamu: 25. mája 2022

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: 31. októbra 2023