Om säkerhetsinnehållet i macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra
Det här dokumentet beskriver säkerhetsinnehållet i macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra.
Om säkerhetsuppdateringar från Apple
Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.
Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.
Mer information om säkerhet finns på sidan om Apples produktsäkerhet.
macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra
802.1X
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En angripare med en privilegierad nätverksposition kan påverka nätverkstrafik
Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-6203: Dominic White på SensePost (@singe)
802.1X
Tillgängligt för: macOS High Sierra 10.13.6
Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott
Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.
CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2
Konton
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av en skadlig vcf-fil kan leda till att tjänsten nekas
Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.
CVE-2019-8538: Trevor Spiniolas (@TrevorSpiniolas)
APFS
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Det fanns ett logikproblem som ledde till minnesfel. Problemet åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8534: Mac i samarbete med Trend Micros Zero Day Initiative
AppleGraphicsControl
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad storleksvalidering.
CVE-2019-8555: Zhiyi Zhang på 360 ESG Codesafe Team, Zhuo Liang och shrek_wzw på Qihoo 360 Nirvan Team
Bom
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan komma förbi Gatekeeper-kontroller
Problemet åtgärdades med förbättrad hantering av filers metadata.
CVE-2019-6239: Ian Moorhouse och Michael Trimm
CFString
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av en skadlig sträng kan leda till att tjänsten nekas
Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.
CVE-2019-8516: SWIPS Team på Frifee Inc.
configd
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan öka behörigheter
Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.
CVE-2019-8552: Mohamed Ghannam (@_simo36)
Kontakter
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan öka behörigheter
Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.
CVE-2019-8511: en anonym forskare
CoreCrypto
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan öka behörigheter
Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.
CVE-2019-8542: en anonym forskare
DiskArbitration
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En krypterad disk kan tas bort från skrivbordet och monteras igen av en annan användare utan att fråga efter lösenord
Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8522: Colin Meginnis (@falc420)
FaceTime
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En användares video kanske inte pausas i ett FaceTime-samtal om användaren avslutar FaceTime-appen medan samtalet ringer
Beskrivning: Ett problem förekom i pausandet av FaceTime-video. Problemet åtgärdades genom förbättrad logik.
CVE-2019-8550: Lauren Guzniczak på Keystone Academy
FaceTime
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En lokal angripare kan visa kontakter från låsskärmen
Beskrivning: Ett problem med låsskärmen tillät åtkomst till kontakter på en låst enhet. Problemet åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8777: Abdullah H. AlJaber (@aljaber) på AJ.SA
Feedback Assistant
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan tillskansa sig rotbehörighet
Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.
CVE-2019-8565: CodeColorist på Ant-Financial LightYear Labs
Feedback Assistant
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett skadligt program kan godtyckligt skriva över filer
Beskrivning: Problemet åtgärdades med förbättrade kontroller.
CVE-2019-8521: CodeColorist på Ant-Financial LightYear Labs
file
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av en skadligt utformad fil kan leda till att användarinformation avslöjas
Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.
CVE-2019-8906: Francisco Alonso
Grafikdrivrutiner
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.
CVE-2019-8519: Aleksandr Tarasikov (@astarasikov), Juwei Lin (@panicaII) och Junzhi Lu på Trend Micro Research i samarbete med Trend Micro's Zero Day Initiative, Lilang Wu och Moony Li på Trend Micro
iAP
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan öka behörigheter
Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.
CVE-2019-8542: en anonym forskare
IOGraphics
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En Mac kanske inte låstes när den kopplades ifrån en extern skärm
Beskrivning: Ett låshanteringsproblem åtgärdades genom förbättrad låshantering.
CVE-2019-8533: en anonym forskare, James Eagan på Télécom ParisTech, R. Scott Kemp på MIT och Romke van Dijk på Z-CERT
IOHIDFamily
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet läses
Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8545: Adam Donenfeld (@doadam) från Zimperium zLabs-teamet
IOKit
Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En lokal användare kan läsa kernelminne
Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.
CVE-2019-8504: en anonym forskare
IOKit SCSI
Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.
CVE-2019-8529: Juwei Lin (@panicaII) på Trend Micro Research i samarbete med Trend Micros Zero Day Initiative
Kernel
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Effekt: En lokal användare kan läsa kernelminne
Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.
CVE-2018-4448: Brandon Azad
Kernel
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En fjärrangripare kan påverka nätverkstrafikdata
Beskrivning: Ett minnesfel förekom i hantering av IPv6-paket. Problemet åtgärdades genom förbättrad minneshantering.
CVE-2019-5608: Apple
Kernel
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En fjärrangripare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet blir korrupt
Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad storleksvalidering.
CVE-2019-8527: Ned Williamson på Google och derrek (@derrekr6)
Kernel
Tillgängligt för macOS Mojave 10.14.3 och macOS High Sierra 10.13.6
Effekt: Ett program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.
CVE-2019-8528: Fabiano Anemone (@anoane) och Zhao Qixun (@S0rryMybad) på Qihoo 360 Vulcan Team
Kernel
Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3
Effekt: Montering av en skadligt utformad NFS-nätverksresurs kan leda till körning av opålitlig kod med systembehörighet
Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.
CVE-2019-8508: Dr. Silvio Cesare på InfoSect
Kernel
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett program kan få högre behörighet
Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8514: Samuel Groß på Google Project Zero
Kernel
Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3
Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet
Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.
CVE-2019-8540: Weibo Wang (@ma1fan) från Qihoo 360 Nirvan-teamet
Kernel
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En lokal användare kan läsa kernelminne
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2019-7293: Ned Williamson på Google
Kernel
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet
Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.
CVE-2019-6207: Weibo Wang från Qihoo 360 Nirvan-teamet (@ma1fan)
CVE-2019-8510: Stefan Esser på Antid0te UG
Kernel
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En fjärrangripare kan läcka minne
Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.
CVE-2019-8547: derrek (@derrekr6)
Kernel
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8525: Zhuo Liang och shrek_wzw på Qihoo 360 Nirvan Team
libmalloc
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Effekt: Ett skadligt program kan ändra skyddade delar av filsystemet
Beskrivning: Ett konfigurationsproblem åtgärdades med ytterligare begränsningar.
CVE-2018-4433: Vitaly Cheptsov
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av ett skadligt e-postmeddelande kan leda till S/MIME-signaturförfalskning
Beskrivning: Ett problem förekom i hanteringen av S/MIME-certifikat. Problemet åtgärdades med förbättrad validering av S/MIME-certifikat.
CVE-2019-8642: Maya Sigal och Volker Roth på Freie Universität Berlin
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En angripare i en privilegierad nätverksposition kan snappa upp innehållet i S/MIME-krypterad e-post
Beskrivning: Ett problem förekom i hanteringen av krypterade e-postmeddelanden. Problemet åtgärdades med förbättrad isolering av MIME i Mail.
CVE-2019-8645: Maya Sigal och Volker Roth på Freie Universität Berlin
Meddelanden
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En lokal användare kunde visa känslig användarinformation
Beskrivning: Ett åtkomstproblem åtgärdades genom ytterligare sandlådebegränsningar.
CVE-2019-8546: ChiYuan Chang
Modem CCL
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett program kan få högre behörighet
Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad minneshantering.
CVE-2019-8579: en anonym forskare
Anteckningar
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En lokal användare kan eventuellt visa en användares låsta anteckningar
Beskrivning: Ett problem med åtkomst åtgärdades genom förbättrad minneshantering.
CVE-2019-8537: Greg Walker (gregwalker.us)
PackageKit
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett skadligt program kan öka behörigheter
Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.
CVE-2019-8561: Jaron Bradley på Crowdstrike
Perl
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Flera problem i Pearl
Beskrivning: Flera problem i Pearl åtgärdades i den här uppdateringen.
CVE-2018-12015: Jakub Wilk
CVE-2018-18311: Jayakrishna Menon
CVE-2018-18313: Eiichi Tsukata
Strömhantering
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet
Beskrivning: Flera problem med indatavalidering förekom i MIG-genererad kod. De här problemen har åtgärdats genom förbättrad validering.
CVE-2019-8549: Mohamed Ghannam (@_simo36) på SSD Secure Disclosure (ssd-disclosure.com)
QuartzCore
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Behandling av skadliga data kan leda till oväntat programavslut
Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.
CVE-2019-8507: Kai Lu på Fortinets FortiGuard Labs
Sandlåda
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna
Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade begränsningar.
CVE-2019-8618: Brandon Azad
Säkerhet
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett program kan få högre behörighet
Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.
CVE-2019-8526: Linus Henze (pinauten.de)
Säkerhet
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.
CVE-2019-8520: Antonio Groza, NCSC (National Cyber Security Centre) i Storbritannien
Säkerhet
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott
Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.
CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2
Säkerhet
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott
Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.
CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2
Siri
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En skadlig app kan starta en dikteringsbegäran utan att användaren godkänt det
Beskrivning: Ett API-problem förekom i hanteringen av dikteringsbegäran. Problemet har åtgärdats genom förbättrad validering.
CVE-2019-8502: Luke Deshotels på North Carolina State University, Jordan Beichler på North Carolina State University, William Enck på North Carolina State University, Costin Carabaș på universitetet POLITEHNICA i Bukarest och Răzvan Deaconescu på universitetet POLITEHNICA i Bukarest
Time Machine
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En lokal användare kan köra godtyckliga skalkommandon
Beskrivning: Problemet åtgärdades med förbättrade kontroller.
CVE-2019-8513: CodeColorist på Ant-Financial LightYear Labs
Touch Bar-stöd
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Ett program kan köra opålitlig kod med systembehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2019-8569: Viktor Oreshkin (@stek29)
TrueTypeScaler
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas
Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.
CVE-2019-8517: riusksk på VulWar Corp i samarbete med Trend Micro Zero Day Initiative
Wifi
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3
Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd
Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.
CVE-2019-8564: Hugues Anguelkov under praktik på Quarkslab
Wifi
Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6
Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd
Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.
CVE-2019-8612: Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt
Wifi
Tillgängligt för: macOS Mojave 10.14.3
Effekt: En enhet kan passivt spåras med hjälp av dess wifi-MAC-adress
Beskrivning: Ett problem med användarintegritet åtgärdades genom att ta bort MAC-adressen som sändes.
CVE-2019-8567: David Kreitschmann och Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt
xar
Tillgängligt för: macOS Mojave 10.14.3
Effekt: Bearbetning av ett skadligt paket kan ge upphov till körning av opålitlig kod
Beskrivning: Ett valideringsproblem förekom i hanteringen av symlänkar. Problemet åtgärdades genom förbättrad validering av symlänkar.
CVE-2019-6238: Yiğit Can YILMAZ (@yilmazcanyigit)
XPC
Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3
Effekt: Ett skadligt program kan skriva över filer godtyckligt
Beskrivning: Problemet åtgärdades med förbättrade kontroller.
CVE-2019-8530: CodeColorist på Ant-Financial LightYear Labs
Ytterligare tack
Konton
Vi vill tacka Milan Stute på Secure Mobile Networking Lab vid Technische Universität Darmstadt för hjälpen.
Böcker
Vi vill tacka Yiğit Can YILMAZ (@yilmazcanyigit) för hjälpen.
Kernel
Vi vill tacka Brandon Azad, Brandon Azad på Google Project Zero, Daniel Roethlisberger på Swisscom CSIRT, Raz Mashat (@RazMashat) på Ilan Ramon High School för hjälpen.
Vi vill tacka Craig Young på Tripwire VERT och Hanno Böck för hjälpen.
Time Machine
Vi vill tacka CodeColorist på Ant-Financial LightYear Labs för hjälpen.
Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Kontakta leverantören för mer information.