Om säkerhetsinnehållet i macOS Mojave 10.14.3, säkerhetsuppdatering 2019-001 High Sierra, säkerhetsuppdatering 2019-001 Sierra

Det här dokumentet beskriver säkerhetsinnehållet i macOS Mojave 10.14.3, säkerhetsuppdatering 2019-001 High Sierra, säkerhetsuppdatering 2019-001 Sierra.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

macOS Mojave 10.14.3, säkerhetsuppdatering 2019-001 High Sierra, säkerhetsuppdatering 2019-001 Sierra

AppleKeyStore

Tillgängligt för: macOS Mojave 10.14.2

Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6235: Brandon Azad

Bluetooth

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: En angripare i en privilegierad nätverksposition kan köra opålitlig kod

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-6200: en anonym forskare

Core Media

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-6202: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6221: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CoreAnimation

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-6231: Zhuo Liang på Qihoo 360 Nirvan Team

CoreAnimation

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6230: Proteas, Shrek_wzw och Zhuo Liang på Qihoo 360 Nirvan Team

FaceTime

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: En fjärrangripare kan påbörja ett FaceTime-samtal som orsakar körning av opålitlig kod

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.

CVE-2019-6224: natashenka på Google Project Zero

Hypervisor

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2018-4467: Martim Carbone, David Vernet, Sam Scalise och Fred Jacobs från Virtual Machine Monitor Group på VMware, Inc.

Intel Graphics-drivrutin

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett problem med minnesförbrukningen åtgärdades genom förbättrad minneshantering.

CVE-2018-4452: Liu Long på Qihoo 360 Vulcan Team

IOKit

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-6214: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6225: Brandon Azad på Google Project Zero, Qixun Zhao på Qihoo 360 Vulcan Team

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6210: Ned Williamson på Google

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett minnesfel åtgärdades med förbättrad låsstatuskontroll.

CVE-2019-6205: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-6213: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-6209: Brandon Azad på Google Project Zero

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6208: Jann Horn på Google Project Zero

libxpc

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6218: Ian Beer på Google Project Zero

Bearbetning av naturligt språk

Tillgängligt för: macOS Mojave 10.14.2

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.

CVE-2019-6219: Authier Thomas

QuartzCore

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.2

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-6220: Yufeng Ruan på Chaitin Security Research Lab

SQLite

Tillgängligt för: macOS Mojave 10.14.2

Effekt: En skadligt utformad SQL-fråga kan ge upphov till körning av godtycklig kod

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2018-20346: Tencent Blade Team

CVE-2018-20505: Tencent Blade Team

CVE-2018-20506: Tencent Blade Team

WebRTC

Tillgängligt för: macOS Mojave 10.14.2

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-6211: Georgi Geshev (@munmap), Fabi Beterke (@pwnfl4k3s) och Rob Miller (@trotmaster99) på MWR Labs (@mwrlabs) i samarbete med Trend Micros Zero Day Initiative

Ytterligare tack

apache_mod_php

Vi vill tacka en anonym forskare för hjälpen.

Kernel

Vi vill tacka Daniel Roethlisberger på Swisscom CSIRT för hjälpen.

LibreSSL

Vi vill tacka Viktor Szakats för hans hjälp.

mDNSResponder

Vi vill tacka Fatemah Alharbi på University of California, Riverside (UCR) och Taibah University (TU), Jie Chang på LinkSure Network, Yuchen Zhou på Northeastern University, Feng Qian på University of Minnesota – Twin City, Zhiyun Qian på University of California, Riverside (UCR) och Nael Abu-Ghazaleh på University of California, Riverside (UCR) för deras hjälp.