Om säkerhetsinnehållet i macOS Big Sur 11.3

Det här dokumentet beskriver säkerhetsinnehållet i macOS Big Sur 11.3.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

macOS Big Sur 11.3

APFS

Tillgängligt för: macOS Big Sur

Effekt: en lokal angripare kan höja sin behörighet

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1853: Gary Nield på ECSC Group plc och Tim Michaud(@TimGMichaud) på Zoom Video Communications

AppleMobileFileIntegrity

Tillgängligt för: macOS Big Sur

Effekt: en skadlig app kan kringgå integritetsinställningar

Beskrivning: Ett problem med validering av kodsignaturer åtgärdades med förbättrade kontroller.

CVE-2021-1849: Siguza

Apple Neural Engine

Tillgängligt för: macOS Big Sur

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2021-1867: Zuozhi Fan (@pattern_F_) och Wish Wu (吴潍浠) på Ant Group Tianqiong Security Lab

Archive Utility

Tillgängligt för: macOS Big Sur

Effekt: en skadlig app kan komma förbi Gatekeeper-kontroller

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1810: Rasmus Sten (@pajp) på F-Secure

Audio

Tillgängligt för: macOS Big Sur

Effekt: En app utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1808: JunDong Xie på Ant Security Light-Year Lab

CFNetwork

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadligt webbinnehåll kan avslöja känslig användarinformation

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2021-1857: En anonym forskare

Compression

Tillgängligt för: macOS Big Sur

Effekt: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering

Beskrivning: Bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod.

CVE-2021-30752: Ye Zhang(@co0py_Cat) på Baidu Security

CoreAudio

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av en fil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2021-30664: JunDong Xie på Ant Security Light-Year Lab

CoreAudio

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till att begränsat minne avslöjas

Beskrivning: ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2021-1846: JunDong Xie på Ant Security Light-Year Lab

CoreAudio

Tillgängligt för: macOS Big Sur

Effekt: En app med skadligt innehåll utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1809: JunDong Xie på Ant Security Light-Year Lab

CoreFoundation

Tillgängligt för: macOS Big Sur

Effekt: Ett skadligt program kan läcka känslig användarinformation

Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.

CVE-2021-30659: Thijs Alkemade på Computest

CoreGraphics

Tillgängligt för: macOS Big Sur

Effekt: Öppnande av en fil med skadligt innehåll kan leda till oväntad appavslutning eller körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1847: Xuwei Liu på Purdue University

CoreText

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1811: Xingwei Lin på Ant Security Light-Year Lab

curl

Tillgängligt för: macOS Big Sur

Effekt: En server med skadligt innehåll kan komma åt aktiva tjänster

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2020-8284: Marian Rehak

curl

Tillgängligt för: macOS Big Sur

Effekt: En angripare kan ge ett felaktigt OCSP-svar som kan verka riktigt

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2020-8286: En anonym forskare

curl

Tillgängligt för: macOS Big Sur

Effekt: En fjärrangripare kan orsaka att åtkomsten till tjänsten nekas

Beskrivning: Ett buffertspill åtgärdades genom förbättrad indatavalidering.

CVE-2020-8285: xnynx

DiskArbitration

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app kan ändra skyddade delar av filsystemet

Beskrivning: Det fanns ett behörighetsproblem i DiskArbitration. Det åtgärdades genom ytterligare ägarskapskontroller.

CVE-2021-1784: Mikko Kenttälä (@Turmio_) på SensorFu, Csaba Fitzl (@theevilbit) på Offensive Security, och en anonym forskare

FaceTime

Tillgängligt för: macOS Big Sur

Effekt: Ett försök att stänga av ljudet under ett CallKit-samtal kunde leda till att ljudet inte stängdes av

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1872: Siraj Zaneer på Facebook

FontParser

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av en typsnittsfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2021-1881: En anonym forskare, Xingwei Lin på Ant Security Light-Year Lab, Mickey Jin på Trend Micro och Hou JingYi (@hjy79425575) på Qihoo 360

Foundation

Tillgängligt för: macOS Big Sur

Effekt: En app kan få högre behörighet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1882: Gabe Kirkpatrick (@gabe_k)

Foundation

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app kan tillskansa sig rotbehörighet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.

CVE-2021-1813: Cees Elzinga

Heimdal

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadliga servermeddelanden kan leda till heap-fel

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2021-1883: Gabe Kirkpatrick (@gabe_k)

Heimdal

Tillgängligt för: macOS Big Sur

Effekt: En fjärrangripare kan orsaka att åtkomsten till tjänsten nekas

Beskrivning: ett konkurrenstillstånd åtgärdades genom förbättrad låsning.

CVE-2021-1884: Gabe Kirkpatrick (@gabe_k)

ImageIO

Tillgängligt för: macOS Big Sur

Effekt: bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2021-1880: Xingwei Lin på Ant Security Light-Year Lab

CVE-2021-30653: Ye Zhang på Baidu Security

CVE-2021-1814: Ye Zhang på Baidu Security, Mickey Jin och Qi Sun på Trend Micro och Xingwei Lin på Ant Security Light-Year Lab

CVE-2021-1843: Ye Zhang på Baidu Security

ImageIO

Tillgängligt för: macOS Big Sur

Effekt: bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod

Beskrivning: ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2021-1885: CFF på Topsec Alpha Team

ImageIO

Tillgängligt för: macOS Big Sur

Effekt: bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2021-1858: Mickey Jin på Trend Micro

ImageIO

Tillgängligt för: macOS Big Sur

Effekt: Ett problem med skrivning utanför gränserna åtgärdades genom förbättrad indatavalidering

Beskrivning: Bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod.

CVE-2021-30743: Ye Zhang (@co0py_Cat) på Baidu Security, CFF på Topsec Alpha Team, Jzhu i samarbete med Trend Micro Zero Day Initiative, Xingwei Lin på Ant Security Light-Year Lab, CFF på Topsec Alpha Team, Jeonghoon Shin (@singi21a) på THEORI i samarbete med Trend Micro Zero Day Initiative

Installer

Tillgängligt för: macOS Big Sur

Effekt: en skadlig app kan komma förbi Gatekeeper-kontroller

Problemet åtgärdades med förbättrad hantering av filers metadata.

CVE-2021-30658: Wojciech Reguła (@_r3ggi) på SecuRing

Intel Graphics Driver

Tillgängligt för: macOS Big Sur

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2021-1841: Jack Dates på RET2 Systems, Inc.

CVE-2021-1834: ABC Research s.r.o. i samarbete med Trend Micro Zero Day Initiative

Kernel

Tillgängligt för: macOS Big Sur

Effekt: en app med skadligt innehåll kan komma åt kernelminnet

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2021-1860: @0xalsr

Kernel

Tillgängligt för: macOS Big Sur

Effekt: en lokal angripare kan höja sin behörighet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1840: Zuozhi Fan (@pattern_F_) på Ant Group Tianqiong Security Lab

Kernel

Tillgängligt för: macOS Big Sur

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1851: @0xalsr

Kernel

Tillgängligt för: macOS Big Sur

Effekt: Kopierade filer har inte alltid de förväntade filbehörigheterna

Beskrivning: problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2021-1832: En anonym forskare

Kernel

Tillgängligt för: macOS Big Sur

Effekt: en app med skadligt innehåll kan komma åt kernelminnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2021-30660: Alex Plaskett

libxpc

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app kan tillskansa sig rotbehörighet

Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.

CVE-2021-30652: James Hutchins

libxslt

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av en skadlig fil kan leda till heap-fel

Beskrivning: Ett dubbelt fritt fel åtgärdades genom förbättrad minneshantering.

CVE-2021-1875: hittades av OSS-Fuzz

Login Window

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app med rotbehörigheter kan komma åt privata uppgifter

Beskrivning: Problemet åtgärdades med förbättrade behörigheter.

CVE-2021-1824: Wojciech Reguła (@_r3ggi) på SecuRing

Notes

Tillgängligt för: macOS Big Sur

Effekt: Låsta anteckningar kan ha låsts av misstag

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1859: Syed Ali Shuja (@SyedAliShuja) på Colour King Pvt. Ltd

NSRemoteView

Tillgängligt för: macOS Big Sur

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2021-1876: Matthew Denton på Google Chrome

Preferences

Tillgängligt för: macOS Big Sur

Effekt: en lokal användare kan ändra skyddade delar av filsystemet

Beskrivning: Ett tolkningsfel i hanteringen av katalogsökvägar åtgärdades med förbättrad sökvägsvalidering.

CVE-2021-1815: Zhipeng Huo (@R3dF09) och Yuebin Sun (@yuebinsun2020) på Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1739: Zhipeng Huo (@R3dF09) och Yuebin Sun (@yuebinsun2020) på Tencent Security Xuanwu Lab (xlab.tencent.com)

CVE-2021-1740: Zhipeng Huo (@R3dF09) och Yuebin Sun (@yuebinsun2020) på Tencent Security Xuanwu Lab (xlab.tencent.com)

Safari

Tillgängligt för: macOS Big Sur

Effekt: En skadlig webbsida kan spåra användare genom att sätta status i en cache

Beskrivning: Ett fel existerade i att bestämma cache-beläggningen. Problemet åtgärdades med förbättrad logik.

CVE-2021-1861: Konstantinos Solomos på University of Illinois i Chicago

Safari

Tillgängligt för: macOS Big Sur

Effekt: En skadlig webbsida kan tvinga fram onödiga nätvägsanslutningar för att fånga dess favicon

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1855: Håvard Mikkelsen Ottestad på HASMAC AS

SampleAnalysis

Tillgängligt för: macOS Big Sur

Effekt: en lokal angripare kan höja sin behörighet

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1868: Tim Michaud på Zoom Communications

Sandbox

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app kan komma åt användarens senaste kontakter

Beskrivning: problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2021-30750: Csaba Fitzl (@theevilbit) på Offensive Security

smbx

Tillgängligt för: macOS Big Sur

Effekt: En angripare med privilegierad nätverksposition kan läcka känslig användarinformation

Beskrivning: Ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2021-1878: Aleksandar Nikolic på Cisco Talos (talosintelligence.com)

System Preferences

Tillgängligt för: macOS Big Sur

Effekt: Ett skadligt program kan komma förbi Gatekeeper-kontroller. Apple känner till en rapport om att det här problemet kan ha utnyttjats aktivt.

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-30657: Cedric Owens (@cedowens)

TCC

Tillgängligt för: macOS Big Sur

Effekt: En skadlig applikation som inte körs i testmiljö på ett system med fjärrinloggning aktiverad kan åsidosätta integritetsinställningarna

Beskrivning: Problemet åtgärdades genom att lägga till ett nytt alternativ för fjärrinloggning för att registrera sig för full diskåtkomst i Secure Shell-sessioner.

CVE-2021-30856: Csaba Fitzl (@theevilbit) på Offensive Security, Andy Grant på Zoom Video Communications, Thijs Alkemade på Computest Research Division, Wojciech Reguła på SecuRing (wojciechregula.blog), Cody Thomas på SpecterOps, Mickey Jin på Trend Micro

tcpdump

Tillgängligt för: macOS Big Sur

Effekt: En fjärrangripare kan orsaka att åtkomsten till tjänsten nekas

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2020-8037: En anonym forskare

Time Machine

Tillgängligt för: macOS Big Sur

Effekt: en lokal angripare kan höja sin behörighet

Beskrivning: problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2021-1839: Tim Michaud (@TimGMichaud) på Zoom Video Communications och Gary Nield på ECSC Group plc

WebKit

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadligt webbinnehåll kan leda till en attack med skriptkörning över flera sajter

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad indatavalidering.

CVE-2021-1825: Alex Camboe på Aon’s Cyber Solutions

WebKit

Tillgängligt för: macOS Big Sur

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1817: zhunki

WebKit

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: ett logikproblem åtgärdades med hjälp av förbättrade begränsningar.

CVE-2021-1826: En anonym forskare

WebKit

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadligt webbinnehåll kan leda till att processminnet visas

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2021-1820: André Bargull

WebKit Storage

Tillgängligt för: macOS Big Sur

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod. Apple känner till en rapport om att det här problemet kan ha utnyttjats aktivt.

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2021-30661: yangkang (@dnpushme) på 360 ATA

WebRTC

Tillgängligt för: macOS Big Sur

Effekt: En fjärrangripare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet blir korrupt

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2020-7463: Megan2013678

Wi-Fi

Tillgängligt för: macOS Big Sur

Effekt: En app kan leda till oväntad systemavstängning eller skrivning till kernelminne

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2021-1828: Zuozhi Fan (@pattern_F_) på Ant Group Tianqiong Security Lab

Wifi

Tillgängligt för: macOS Big Sur

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad lägeshantering.

CVE-2021-1829: Tielei Wang på Pangu Lab

Wi-Fi

Tillgängligt för: macOS Big Sur

Effekt: En app kan köra opålitlig kod med systembehörighet

Beskrivning: problemet har åtgärdats genom förbättrad behörighetslogik.

CVE-2021-30655: Gary Nield på ECSC Group plc och Tim Michaud(@TimGMichaud) på Zoom Video Communications och Wojciech Reguła (@_r3ggi) på SecuRing

Wi-Fi

Tillgängligt för: macOS Big Sur

Effekt: Ett logikfel åtgärdades genom förbättrad tillståndshantering

Beskrivning: Ett buffertspill kan leda till körning av opålitlig kod.

CVE-2021-1770: Jiska Classen (@naehrdine) på Secure Mobile Networking Lab, TU Darmstadt

WindowServer

Tillgängligt för: macOS Big Sur

Effekt: En skadlig app kan oväntat läcka en användares inloggningsuppgifter från ett säkert textfält

Beskrivning: ett API-problem i behörighet för TCC-åtkomst åtgärdades genom förbättrad tillståndshantering.

CVE-2021-1873: En anonym forskare

Ytterligare tack

AirDrop

Vi vill tacka @maxzks för hjälpen.

CoreAudio

Vi vill tacka en anonym forskare för hjälpen.

CoreCrypto

Vi vill tacka Andy Russon på Orange Group för hjälpen.

File Bookmark

Vi vill tacka en anonym forskare för hjälpen.

Foundation

Vi vill tacka CodeColorist på Ant-Financial LightYear Labs för hjälpen.

Kernel

Vi vill tacka Antonio Frighetto på Politecnico di Milano, GRIMM, Keyu Man, Zhiyun Qian, Zhongjie Wang, Xiaofeng Zheng, Youjun Huang, Haixin Duan, Mikko Kenttälä (@Turmio_) på SensorFu för hjälpen.

Mail

Vi vill tacka Petter Flink, SecOps på Bonnier News för hjälpen.

Safari

Vi vill tacka Sahil Mehra (Nullr3x) och Shivam Kamboj Dattana (Sechunt3r) för hjälpen.

Security

Vi vill tacka Xingwei Lin på Ant Security Light-Year Lab och john (@nyan_satan) för hjälpen.

sysdiagnose

Vi vill tacka Tim Michaud (@TimGMichaud) på Leviathan för hjälpen.

WebKit

Vi vill tacka Emilio Cobos Álvarez på Mozilla för hjälpen.

WebSheet

Vi vill tacka Patrick Clover för hjälpen.