Om säkerhetsinnehållet i Säkerhetsuppdatering 2022-004 Catalina

Det här dokumentet beskriver säkerhetsinnehållet i Säkerhetsuppdatering 2022-004 Catalina.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

Säkerhetsuppdatering 2022-004 Catalina

apache

Tillgängligt för: macOS Catalina

Effekt: flera problem i apache

Beskrivning: flera problem åtgärdades genom att uppdatera apache till version 2.4.53.

CVE-2021-44224

CVE-2021-44790

CVE-2022-22719

CVE-2022-22720

CVE-2022-22721

AppKit

Tillgängligt för: macOS Catalina

Effekt: En skadlig app kan tillskansa sig rotbehörighet

Beskrivning: ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2022-22665: Lockheed Martin Red Team

AppleEvents

Tillgängligt för: macOS Catalina

Effekt: en fjärranvändare kan orsaka att appar avslutas oväntat eller att opålitlig kod körs

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-22630: Jeremy Brown i samarbete med Trend Micro Zero Day Initiative

AppleGraphicsControl

Tillgängligt för: macOS Catalina

Effekt: bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod

Beskrivning: ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2022-26751: Michael DePlante (@izobashi) på Trend Micro Zero Day Initiative

AppleScript

Tillgängligt för: macOS Catalina

Effekt: bearbetning av en AppleScript-binärfil med skadligt innehåll kan leda till oväntat appavslut eller till att processminnet avslöjas

Beskrivning: ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2022-26697: Qi Sun och Robert Ai på Trend Micro

AppleScript

Tillgängligt för: macOS Catalina

Effekt: bearbetning av en AppleScript-binärfil med skadligt innehåll kan leda till oväntat appavslut eller till att processminnet avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-26698: Qi Sun på Trend Micro

CoreTypes

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan komma förbi Gatekeeper-kontroller

Beskrivning: Problemet åtgärdades med förbättrade kontroller som förhindrar obehöriga åtgärder.

CVE-2022-22663: Arsenii Kostromin (0x3c3e)

CVMS

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan tillskansa sig rotbehörighet

Beskrivning: Ett minnesinitieringsfel åtgärdades.

CVE-2022-26721: Yonghwi Jin (@jinmo123) på Theori

CVE-2022-26722: Yonghwi Jin (@jinmo123) på Theori

DriverKit

Tillgängligt för: macOS Catalina

Effekt: Ett skadligt program kan köra opålitlig kod med systembehörighet

Beskrivning: ett problem med dataåtkomst utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-26763: Linus Henze på Pinauten GmbH (pinauten.de)

Graphics Drivers

Tillgängligt för: macOS Catalina

Effekt: En lokal användare kan läsa kernelminne

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2022-22674: en anonym forskare

Intel Graphics Driver

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-26720: Liu Long på Ant Security Light-Year Lab

Intel Graphics Driver

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2022-26770: Liu Long på Ant Security Light-Year Lab

Intel Graphics Driver

Tillgängligt för: macOS Catalina

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2022-26756: Jack Dates på RET2 Systems Inc

Intel Graphics Driver

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2022-26769: Antonio Zekic (@antoniozekic)

Intel Graphics Driver

Tillgängligt för: macOS Catalina

Effekt: bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2022-26748: Jeonghoon Shin på Theori i samarbete med Trend Micro Zero Day Initiative

Kernel

Tillgängligt för: macOS Catalina

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2022-26714: Peter Nguyễn Vũ Hoàng (@peternguyen14) på STAR Labs (@starlabs_sg)

Kernel

Tillgängligt för: macOS Catalina

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-26757: Ned Williamson på Google Project Zero

libresolv

Tillgängligt för: macOS Catalina

Effekt: en fjärrangripare kan orsaka ett dos-angrepp

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-32790: Max Shavrick (@_mxms) på Googles säkerhetsteam

libresolv

Tillgängligt för: macOS Catalina

Effekt: en angripare kan orsaka oväntade programavslut eller körning av opålitlig kod

Beskrivning: ett problem med heltalsspill åtgärdades genom förbättrad indatavalidering.

CVE-2022-26775: Max Shavrick (@_mxms) på Googles säkerhetsteam

LibreSSL

Tillgängligt för: macOS Catalina

Effekt: bearbetning av ett skadligt certifikat kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett problem med överbelastningsangrepp (DoS) åtgärdades genom förbättrad indatavalidering.

CVE-2022-0778

libxml2

Tillgängligt för: macOS Catalina

Effekt: En fjärrangripare kunde orsaka ett oväntat programavslut eller körning av opålitlig kod

Beskrivning: ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.

CVE-2022-23308

OpenSSL

Tillgängligt för: macOS Catalina

Effekt: bearbetning av ett skadligt certifikat kan leda till att åtkomst till tjänsten nekas

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-0778

PackageKit

Tillgängligt för: macOS Catalina

Effekt: en app kan få högre behörighet

Beskrivning: ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2022-32794: Mickey Jin (@patch1t)

PackageKit

Tillgängligt för: macOS Catalina

Effekt: En skadlig app kan ändra skyddade delar av filsystemet

Beskrivning: problemet åtgärdades med förbättrade behörigheter.

CVE-2022-26727: Mickey Jin (@patch1t)

Printing

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kan kringgå integritetsinställningar

Beskrivning: Problemet åtgärdades genom borttagning av den sårbara koden.

CVE-2022-26746: @gorelics

Security

Tillgängligt för: macOS Catalina

Effekt: en skadlig app kanske kan kringgå signaturvalidering

Beskrivning: ett problem med att analysera certifikat åtgärdades med förbättrade kontroller.

CVE-2022-26766: Linus Henze på Pinauten GmbH (pinauten.de)

SMB

Tillgängligt för: macOS Catalina

Effekt: En app kan få högre behörighet

Beskrivning: ett problem med dataskrivning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2022-26715: Peter Nguyễn Vũ Hoàng på STAR Labs

SoftwareUpdate

Tillgängligt för: macOS Catalina

Effekt: Ett program med skadligt innehåll kan få tillgång till begränsade filer

Beskrivning: problemet åtgärdades med förbättrade behörigheter.

CVE-2022-26728: Mickey Jin (@patch1t)

TCC

Tillgängligt för: macOS Catalina

Effekt: en app kan registrera en användares skärm

Beskrivning: problemet åtgärdades med förbättrade kontroller.

CVE-2022-26726: Antonio Cheong Yu Xuan på YCISCQ

Tcl

Tillgängligt för: macOS Catalina

Effekt: Ett program med skadligt innehåll kan bryta sig ut från sin sandlåda

Beskrivning: problemet åtgärdades genom förbättrad sanering av miljön.

CVE-2022-26755: Arsenii Kostromin (0x3c3e)

WebKit

Tillgängligt för: macOS Catalina

Effekt: bearbetning av ett uppsåtligt skadligt e-postmeddelande kan leda till körning av godtyckligt javascript

Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.

CVE-2022-22589: Heige på KnownSec 404 Team (knownsec.com) och Bo Qu på Palo Alto Networks (paloaltonetworks.com)

Wi-Fi

Tillgängligt för: macOS Catalina

Effekt: en app kan köra opålitlig kod med kernelbehörighet

Beskrivning: ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2022-26761: Wang Yu på Cyberserval

zip

Tillgängligt för: macOS Catalina

Effekt: bearbetning av en skadlig fil kan leda till att åtkomsten till tjänsten nekas

Beskrivning: ett problem med tjänster som nekades åtgärdades genom förbättrad tillståndshantering.

CVE-2022-0530

zlib

Tillgängligt för: macOS Catalina

Effekt: en angripare kan orsaka oväntade programavslut eller körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2018-25032: Tavis Ormandy

zsh

Tillgängligt för: macOS Catalina

Effekt: En fjärrangripare kan orsaka körning av opålitlig kod

Beskrivning: problemet åtgärdades med hjälp av en uppdatering till zsh version 5.8.1.

CVE-2021-45444

Ytterligare tack

PackageKit

Vi vill tacka Mickey Jin (@patch1t) på Trend Micro för hjälpen.