macOS Sierra 10.12.5, Güvenlik Güncellemesi 2017-002 El Capitan ve Güvenlik Güncellemesi 2017-002 Yosemite'nin güvenlik içeriği hakkında
Bu belgede, macOS Sierra 10.12.5, Güvenlik Güncellemesi 2017-002 El Capitan ve Güvenlik Güncellemesi 2017-002 Yosemite'nin güvenlik içeriği açıklanmaktadır.
Apple güvenlik güncellemeleri hakkında
Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.
Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın. Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarı'nı kullanarak şifreleyebilirsiniz.
Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.
macOS Sierra 10.12.5, Güvenlik Güncellemesi 2017-002 El Capitan ve Güvenlik Güncellemesi 2017-002 Yosemite
802.1X
İlgili sürümler: macOS Sierra 10.12.4
Etki: 802.1X kimlik doğrulamasına sahip kötü amaçlı bir ağ, kullanıcının ağ kimlik bilgilerini alabilir
Açıklama: EAP-TLS'de, sertifika değiştirildiğinde oluşan bir sertifika doğrulama sorunu vardı. Bu sorun, sertifika doğrulama işlemi iyileştirilerek giderildi.
CVE-2017-6988: Hewlett Packard Enterprise bünyesindeki Aruba'dan Tim Cappalli
Erişilebilirlik Çerçevesi
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, sistem ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6978: Google Project Zero'dan Ian Beer
CoreAnimation
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Kötü amaçlarla oluşturulmuş verilerin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek tükenmesi sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2527: Google Project Zero'dan Ian Beer
CoreAudio
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2502: Qihoo360 Qex Team'den Yangkang (@dnpushme)
CoreFoundation
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2522: Google Project Zero'dan Ian Beer
CoreText
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Kötü amaçlarla oluşturulmuş bir dosyanın işlenmesi uygulamanın sonlandırılmasına neden olabilir
Açıklama: Servis reddi sorunu, doğrulama işlemi iyileştirilerek giderildi.
CVE-2017-7003: SPYSCAPE'den Jake Davis (@DoubleJake)
DiskArbitration
İlgili sürümler: macOS Sierra 10.12.4 ve OS X El Capitan 10.11.6
Etki: Bir uygulama, sistem ayrıcalıkları elde edebilir
Açıklama: Yarış durumu sorunu, ek dosya sistemi sınırlamalarıyla giderildi.
CVE-2017-2533: Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark
Foundation
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2523: Google Project Zero'dan Ian Beer
HFS
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-6990: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
iBooks
İlgili sürümler: macOS Sierra 10.12.4
Etki: Kötü amaçlarla oluşturulmuş bir kitap, kullanıcı izni olmadan rastgele web sitesi açabilir
Açıklama: URL işleme sorunu, durum yönetimi iyileştirilerek giderildi.
CVE-2017-2497: Jun Kokatsu (@shhnjk)
iBooks
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, kök ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Sembolik bağlantıların yol doğrulama mantığında bir sorun vardı. Bu sorun, yol temizleme işlemi iyileştirilerek giderildi.
CVE-2017-6981: YSRC'den (sec.ly.com) evi1m0
iBooks
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6986: YSRC'den (sec.ly.com) evi1m0 ve Knownsec 404 Security Team'den Heige (SuperHei)
Intel Grafik Sürücüsü
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2503: 360Nirvan ekibinden sss ve Axis
IOGraphics
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2545: Trend Micro'nun Zero Day Initiative programında çalışan 360 Security (@mj0011sec)
IOSurface
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Yarış durumu sorunu, kilitleme iyileştirilerek giderildi.
CVE-2017-6979: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
Çekirdek
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2494: Google Project Zero'dan Jann Horn
Çekirdek
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Kilitleme iyileştirilerek bir yarış durumu giderildi.
CVE-2017-2501: Google Project Zero'dan Ian Beer
Çekirdek
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2507: Google Project Zero'dan Ian Beer
CVE-2017-2509: Google Project Zero'dan Jann Horn
CVE-2017-6987: Synack'ten Patrick Wardle
Çekirdek
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2516: Google Project Zero'dan Jann Horn
Çekirdek
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2546: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
Multi-Touch
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2542: Trend Micro'nun Zero Day Initiative programında çalışan 360 Security (@mj0011sec)
CVE-2017-2543: Trend Micro'nun Zero Day Initiative programında çalışan 360 Security (@mj0011sec)
NVIDIA Grafik Sürücüleri
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6985: Qihoo 360 bünyesindeki Nirvan Team'den Axis ve sss; Qihoo bünyesindeki 360 IceSword Lab'den Simon Huang (@HuangShaomang)
Korumalı Alan
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2512: Porto Üniversitesi, Fen Bilimleri Fakültesi'nden Federico Bento
Güvenlik
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Giriş doğrulama işlemi iyileştirilerek bir kaynak tükenmesi sorunu giderildi.
CVE-2017-2535: Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark
Konuşma Çerçevesi
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Erişim sorunu, ek korumalı alan sınırlamalarıyla giderildi.
CVE-2017-2534: Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark
Konuşma Çerçevesi
İlgili sürümler: macOS Sierra 10.12.4
Etki: Bir uygulama, korumalı alanını ihlal edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6977: Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark
SQLite
İlgili sürümler: macOS Sierra 10.12.4
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek yönetimi iyileştirilerek boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.
CVE-2017-2513: OSS-Fuzz
SQLite
İlgili sürümler: macOS Sierra 10.12.4
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2017-2518: OSS-Fuzz
CVE-2017-2520: OSS-Fuzz
SQLite
İlgili sürümler: macOS Sierra 10.12.4
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2519: OSS-Fuzz
SQLite
İlgili sürümler: macOS Sierra 10.12.4
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Birden çok bellek bozulması sorunu, giriş doğrulama işlemi iyileştirilerek giderildi.
CVE-2017-6983: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-6991: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7000: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7001: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7002: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
TextInput
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2524: Google Project Zero'dan Ian Beer
WindowServer
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, sistem ayrıcalıkları elde edebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2537: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-2541: Trend Micro'nun Zero Day Initiative programında çalışan Richard Zhu (fluorescence)
CVE-2017-2548: Trend Micro'nun Zero Day Initiative programında çalışan Team Sniper (Keen Lab ve PC Mgr)
WindowServer
İlgili sürümler: macOS Sierra 10.12.4, OS X El Capitan 10.11.6 ve OS X Yosemite 10.10.5
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2540: Trend Micro'nun Zero Day Initiative programında çalışan Richard Zhu (fluorescence)
Ek teşekkür listesi
Çekirdek
Google Project Zero'dan Jann Horn'a desteği için teşekkür ederiz.
CFNetwork
Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark'a destekleri için teşekkür ederiz.
Güvenlik
Google Project Zero'dan Ian Beer'a desteği için teşekkür ederiz.
Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen veya test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri veya onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.