Om säkerhetsinnehållet i macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra

Det här dokumentet beskriver säkerhetsinnehållet i macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

macOS Mojave 10.14.4, säkerhetsuppdatering 2019-002 High Sierra, säkerhetsuppdatering 2019-002 Sierra

802.1X

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En angripare med en privilegierad nätverksposition kan påverka nätverkstrafik

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-6203: Dominic White på SensePost (@singe)

802.1X

Tillgängligt för: macOS High Sierra 10.13.6

Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott

Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.

CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2

Konton

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av en skadlig vcf-fil kan leda till att tjänsten nekas

Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.

CVE-2019-8538: Trevor Spiniolas (@TrevorSpiniolas)

APFS

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Det fanns ett logikproblem som ledde till minnesfel. Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8534: Mac i samarbete med Trend Micros Zero Day Initiative

AppleGraphicsControl

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad storleksvalidering.

CVE-2019-8555: Zhiyi Zhang på 360 ESG Codesafe Team, Zhuo Liang och shrek_wzw på Qihoo 360 Nirvan Team

Bom

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan komma förbi Gatekeeper-kontroller

Problemet åtgärdades med förbättrad hantering av filers metadata.

CVE-2019-6239: Ian Moorhouse och Michael Trimm

CFString

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av en skadlig sträng kan leda till att tjänsten nekas

Beskrivning: Ett valideringsproblem hanterades genom förbättrad logik.

CVE-2019-8516: SWIPS Team på Frifee Inc.

configd

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-8552: Mohamed Ghannam (@_simo36)

Kontakter

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.

CVE-2019-8511: en anonym forskare

CoreCrypto

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-8542: en anonym forskare

DiskArbitration

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En krypterad disk kan tas bort från skrivbordet och monteras igen av en annan användare utan att fråga efter lösenord

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8522: Colin Meginnis (@falc420)

FaceTime

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En användares video kanske inte pausas i ett FaceTime-samtal om användaren avslutar FaceTime-appen medan samtalet ringer

Beskrivning: Ett problem förekom i pausandet av FaceTime-video. Problemet åtgärdades genom förbättrad logik.

CVE-2019-8550: Lauren Guzniczak på Keystone Academy

FaceTime

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En lokal angripare kan visa kontakter från låsskärmen

Beskrivning: Ett problem med låsskärmen tillät åtkomst till kontakter på en låst enhet. Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8777: Abdullah H. AlJaber (@aljaber) på AJ.SA

Feedback Assistant

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan tillskansa sig rotbehörighet

Beskrivning: Ett konkurrenstillstånd åtgärdades genom ytterligare validering.

CVE-2019-8565: CodeColorist på Ant-Financial LightYear Labs

Feedback Assistant

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett skadligt program kan godtyckligt skriva över filer

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2019-8521: CodeColorist på Ant-Financial LightYear Labs

file

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av en skadligt utformad fil kan leda till att användarinformation avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8906: Francisco Alonso

Grafikdrivrutiner

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8519: Aleksandr Tarasikov (@astarasikov), Juwei Lin (@panicaII) och Junzhi Lu på Trend Micro Research i samarbete med Trend Micro's Zero Day Initiative, Lilang Wu och Moony Li på Trend Micro

iAP

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-8542: en anonym forskare

IOGraphics

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En Mac kanske inte låstes när den kopplades ifrån en extern skärm

Beskrivning: Ett låshanteringsproblem åtgärdades genom förbättrad låshantering.

CVE-2019-8533: en anonym forskare, James Eagan på Télécom ParisTech, R. Scott Kemp på MIT och Romke van Dijk på Z-CERT

IOHIDFamily

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En lokal användare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet läses

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8545: Adam Donenfeld (@doadam) från Zimperium zLabs-teamet

IOKit

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-8504: en anonym forskare

IOKit SCSI

Tillgängligt för: macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-8529: Juwei Lin (@panicaII) på Trend Micro Research i samarbete med Trend Micros Zero Day Initiative

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2018-4448: Brandon Azad

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En fjärrangripare kan påverka nätverkstrafikdata

Beskrivning: Ett minnesfel förekom i hantering av IPv6-paket. Problemet åtgärdades genom förbättrad minneshantering.

CVE-2019-5608: Apple

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En fjärrangripare kan eventuellt orsaka att systemet avslutas oväntat eller att kernelminnet blir korrupt

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad storleksvalidering.

CVE-2019-8527: Ned Williamson på Google och derrek (@derrekr6)

Kernel

Tillgängligt för macOS Mojave 10.14.3 och macOS High Sierra 10.13.6

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8528: Fabiano Anemone (@anoane) och Zhao Qixun (@S0rryMybad) på Qihoo 360 Vulcan Team

Kernel

Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3

Effekt: Montering av en skadligt utformad NFS-nätverksresurs kan leda till körning av opålitlig kod med systembehörighet

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-8508: Dr. Silvio Cesare på InfoSect

Kernel

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8514: Samuel Groß på Google Project Zero

Kernel

Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-8540: Weibo Wang (@ma1fan) från Qihoo 360 Nirvan-teamet

Kernel

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-7293: Ned Williamson på Google

Kernel

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-6207: Weibo Wang från Qihoo 360 Nirvan-teamet (@ma1fan)

CVE-2019-8510: Stefan Esser på Antid0te UG

Kernel

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En fjärrangripare kan läcka minne

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-8547: derrek (@derrekr6)

Kernel

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8525: Zhuo Liang och shrek_wzw på Qihoo 360 Nirvan Team

libmalloc

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: Ett skadligt program kan ändra skyddade delar av filsystemet

Beskrivning: Ett konfigurationsproblem åtgärdades med ytterligare begränsningar.

CVE-2018-4433: Vitaly Cheptsov

Mail

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av ett skadligt e-postmeddelande kan leda till S/MIME-signaturförfalskning

Beskrivning: Ett problem förekom i hanteringen av S/MIME-certifikat. Problemet åtgärdades med förbättrad validering av S/MIME-certifikat.

CVE-2019-8642: Maya Sigal och Volker Roth på Freie Universität Berlin

Mail

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En angripare i en privilegierad nätverksposition kan snappa upp innehållet i S/MIME-krypterad e-post

Beskrivning: Ett problem förekom i hanteringen av krypterade e-postmeddelanden. Problemet åtgärdades med förbättrad isolering av MIME i Mail.

CVE-2019-8645: Maya Sigal och Volker Roth på Freie Universität Berlin

Meddelanden

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En lokal användare kunde visa känslig användarinformation

Beskrivning: Ett åtkomstproblem åtgärdades genom ytterligare sandlådebegränsningar.

CVE-2019-8546: ChiYuan Chang

Modem CCL

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett indatavalideringsfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8579: en anonym forskare

Anteckningar

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En lokal användare kan eventuellt visa en användares låsta anteckningar

Beskrivning: Ett problem med åtkomst åtgärdades genom förbättrad minneshantering.

CVE-2019-8537: Greg Walker (gregwalker.us)

PackageKit

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-8561: Jaron Bradley på Crowdstrike

Perl

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Flera problem i Pearl

Beskrivning: Flera problem i Pearl åtgärdades i den här uppdateringen.

CVE-2018-12015: Jakub Wilk

CVE-2018-18311: Jayakrishna Menon

CVE-2018-18313: Eiichi Tsukata

Strömhantering

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: Flera problem med indatavalidering förekom i MIG-genererad kod. De här problemen har åtgärdats genom förbättrad validering.

CVE-2019-8549: Mohamed Ghannam (@_simo36) på SSD Secure Disclosure (ssd-disclosure.com)

QuartzCore

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Behandling av skadliga data kan leda till oväntat programavslut

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2019-8507: Kai Lu på Fortinets FortiGuard Labs

Sandlåda

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade begränsningar.

CVE-2019-8618: Brandon Azad

Säkerhet

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett program kan få högre behörighet

Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2019-8526: Linus Henze (pinauten.de)

Säkerhet

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: Ett skadligt program utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8520: Antonio Groza, NCSC (National Cyber Security Centre) i Storbritannien

Säkerhet

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott

Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.

CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2

Säkerhet

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett ej betrott RADIUS-servercertifikat kan bli betrott

Beskrivning: Ett valideringsproblem förekom i Trust Anchor Management. Problemet har åtgärdats genom förbättrad validering.

CVE-2019-8531: en anonym forskare, QA-teamet på SecureW2

Siri

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En skadlig app kan starta en dikteringsbegäran utan att användaren godkänt det

Beskrivning: Ett API-problem förekom i hanteringen av dikteringsbegäran. Problemet har åtgärdats genom förbättrad validering.

CVE-2019-8502: Luke Deshotels på North Carolina State University, Jordan Beichler på North Carolina State University, William Enck på North Carolina State University, Costin Carabaș på universitetet POLITEHNICA i Bukarest och Răzvan Deaconescu på universitetet POLITEHNICA i Bukarest

Time Machine

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En lokal användare kan köra godtyckliga skalkommandon

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2019-8513: CodeColorist på Ant-Financial LightYear Labs

Touch Bar-stöd

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Ett program kan köra opålitlig kod med systembehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-8569: Viktor Oreshkin (@stek29)

TrueTypeScaler

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-8517: riusksk på VulWar Corp i samarbete med Trend Micro Zero Day Initiative

Wifi

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14.3

Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-8564: Hugues Anguelkov under praktik på Quarkslab

Wifi

Tillgängligt för: macOS Sierra 10.12.6, macOS High Sierra 10.13.6

Effekt: En angripare med en privilegierad nätverksposition kan ändra drivrutinstillstånd

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8612: Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

Wifi

Tillgängligt för: macOS Mojave 10.14.3

Effekt: En enhet kan passivt spåras med hjälp av dess wifi-MAC-adress

Beskrivning: Ett problem med användarintegritet åtgärdades genom att ta bort MAC-adressen som sändes.

CVE-2019-8567: David Kreitschmann och Milan Stute på Secure Mobile Networking Lab på Technische Universität Darmstadt

xar

Tillgängligt för: macOS Mojave 10.14.3

Effekt: Bearbetning av ett skadligt paket kan ge upphov till körning av opålitlig kod

Beskrivning: Ett valideringsproblem förekom i hanteringen av symlänkar. Problemet åtgärdades genom förbättrad validering av symlänkar.

CVE-2019-6238: Yiğit Can YILMAZ (@yilmazcanyigit)

XPC

Tillgängligt för: macOS Sierra 10.12.6 och macOS Mojave 10.14.3

Effekt: Ett skadligt program kan skriva över filer godtyckligt

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2019-8530: CodeColorist på Ant-Financial LightYear Labs

Ytterligare tack

Konton

Vi vill tacka Milan Stute på Secure Mobile Networking Lab vid Technische Universität Darmstadt för hjälpen.

Böcker

Vi vill tacka Yiğit Can YILMAZ (@yilmazcanyigit) för hjälpen.

Kernel

Vi vill tacka Brandon Azad, Brandon Azad på Google Project Zero, Daniel Roethlisberger på Swisscom CSIRT, Raz Mashat (@RazMashat) på Ilan Ramon High School för hjälpen.

Mail

Vi vill tacka Craig Young på Tripwire VERT och Hanno Böck för hjälpen.

Time Machine

Vi vill tacka CodeColorist på Ant-Financial LightYear Labs för hjälpen.