Om säkerhetsinnehållet i macOS Sierra 10.12.6, säkerhetsuppdatering 2017-003 El Capitan och säkerhetsuppdatering 2017-003 Yosemite

Det här dokumentet beskriver säkerhetsinnehållet i macOS Sierra 10.12.6, säkerhetsuppdatering 2017-003 El Capitan och säkerhetsuppdatering 2017-003 Yosemite.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet. Du kan kryptera kommunikation med Apple genom att använda en PGP-nyckel från Apple Product Security.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

macOS Sierra 10.12.6, säkerhetsuppdatering 2017-003 El Capitan och säkerhetsuppdatering 2017-003 Yosemite

afclip

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2017-7016: riusksk (泉哥) på Tencent Security Platform Department

afclip

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7033: riusksk (泉哥) på Tencent Security Platform Department

AppleGraphicsPowerManagement

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7021: sss och Axis på Qihoo 360 Nirvan Team

Ljud

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Bearbetning av en ljudfil med skadligt innehåll kan leda till att begränsat minne avslöjas

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7015: riusksk (泉哥) på Tencent Security Platform Department

Bluetooth

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7050: Min (Spark) Zheng på Alibaba Inc.

CVE-2017-7051: Alex Plaskett på MWR InfoSecurity

Bluetooth

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7054: Alex Plaskett på MWR InfoSecurity, Lufeng Li på Qihoo 360 Vulcan Team

Kontakter

Tillgängligt för: macOS Sierra 10.12.5

Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av opålitlig kod

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.

CVE-2017-7062: Shashank (@cyberboyIndia)

CoreAudio

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Bearbetning av en filmfil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad kontroll av gränser.

CVE-2017-7008: Yangkang (@dnpushme) på Qihoo 360 Qex Team

curl

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Flera problem i curl

Beskrivning: Flera problem åtgärdades genom att uppdatera till version 7.54.0.

CVE-2016-9586

CVE-2016-9594

CVE-2017-2629

CVE-2017-7468

Foundation

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Bearbetning av en fil med skadligt innehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2017-7031: HappilyCoded (ant4g0nist och r3dsm0k3)

Typsnittsimport

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2017-13850: John Villamil, Doyensec

Intel Graphics-drivrutin

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7014: Lee på Minionz, Axis och sss på Qihoo 360 Nirvan Team

CVE-2017-7017: chenqin på Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室)

CVE-2017-7035: shrek_wzw på Qihoo 360 Nirvan Team

CVE-2017-7044: shrek_wzw på Qihoo 360 Nirvan Team

Intel Graphics-drivrutin

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2017-7036: shrek_wzw på Qihoo 360 Nirvan Team

CVE-2017-7045: shrek_wzw på Qihoo 360 Nirvan Team

IOUSBFamily

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7009: shrek_wzw på Qihoo 360 Nirvan Team

Kernel

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7022: En anonym forskare

CVE-2017-7024: En anonym forskare

Kernel

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7023: En anonym forskare

Kernel

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7025: En anonym forskare

CVE-2017-7027: En anonym forskare

CVE-2017-7069: Proteas på Qihoo 360 Nirvan Team

Kernel

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7026: En anonym forskare

Kernel

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2017-7028: En anonym forskare

CVE-2017-7029: En anonym forskare

Kernel

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2017-7067: shrek_wzw på Qihoo 360 Nirvan Team

kext-verktyg

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7032: Axis och sss på Qihoo 360 Nirvan Team

libarchive

Tillgängligt för: macOS Sierra 10.12.5

Effekt: Uppackning av ett arkiv med skadligt innehåll kan ge upphov till körning av opålitlig kod

Beskrivning: Ett buffertspill åtgärdades genom förbättrad gränskontroll.

CVE-2017-7068: upptäcktes av OSS-Fuzz

libxml2

Tillgängligt för: macOS Sierra 10.12.5, OS X El Capitan 10.11.6 och OS X Yosemite 10.10.5

Effekt: Tolkning av ett XML-dokument med skadligt innehåll kan leda till att användarinformation avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad kontroll av gränserna.

CVE-2017-7010: Apple

CVE-2017-7013: upptäcktes av OSS-Fuzz

libxpc

Tillgängligt för: macOS Sierra 10.12.5 och OS X El Capitan 10.11.6

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7047: Ian Beer på Google Project Zero

Wifi

Tillgängligt för: macOS Sierra 10.12.5

Effekt: En angripare inom räckhåll kan köra opålitlig kod på wifi-chippet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-7065: Gal Beniamini på Google Project Zero

Wifi

Tillgängligt för: macOS Sierra 10.12.5

Effekt: En angripare inom räckhåll kan köra opålitlig kod på wifi-chippet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2017-9417: Nitay Artenstein på Exodus Intelligence

Ytterligare tack

curl

Vi vill tacka Dave Murdock på Tangerine Element för hans hjälp.