macOS High Sierra 10.13.6, Güvenlik Güncellemesi 2018-004 Sierra ve Güvenlik Güncellemesi 2018-004 El Capitan'ın güvenlik içeriği hakkında

Bu belgede macOS High Sierra 10.13.6, Güvenlik Güncellemesi 2018-004 Sierra ve Güvenlik Güncellemesi 2018-004 El Capitan'ın güvenlik içeriği açıklanmaktadır.

Apple güvenlik güncellemeleri hakkında

Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.

Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın. Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarını kullanarak şifreleyebilirsiniz.

Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

macOS High Sierra 10.13.6, Güvenlik Güncellemesi 2018-004 Sierra ve Güvenlik Güncellemesi 2018-004 El Capitan

Hesaplar

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlı bir uygulama yerel kullanıcıların Apple Kimliklerine erişebilir

Açıklama: Open Directory kayıtlarının işlenmesinde ortaya çıkan bir gizlilik sorunu, dizinleme iyileştirilerek çözüldü.

CVE-2018-4470: Commonwealth School'dan Jacob Greenfield

AMD

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlı bir uygulama çekirdek belleği düzenini belirleyebilir

Açıklama: Savunmasız kod kaldırılarak, bilgilerin açığa çıkması sorunu giderildi.

CVE-2018-4289: Qihoo 360 Nirvan Team'den shrek_wzw

APFS

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2018-4268: Mac (Trend Micro'nun Zero Day Initiative programıyla)

ATS

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlı bir uygulama kök ayrıcalıkları kazanabilir

Açıklama: Belleğin işlenmesi iyileştirilerek türle ilgili bir karışıklık sorunu giderildi.

CVE-2018-4285: Mohamed Ghannam (@_simo36)

Bluetooth

İlgili ürünler: MacBook Pro (15 inç, 2018) ve MacBook Pro (13 inç, 2018, Dört Thunderbolt 3 Bağlantı Noktası)

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan, Bluetooth trafiğini ele geçirebilir

Açıklama: Bluetooth'ta bir giriş doğrulama sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2018-5383: Lior Neumann ve Eli Biham

CFNetwork

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Çerezler Safari'de beklenmedik şekilde kalıcı olabilir

Açıklama: Denetimler iyileştirilerek çerez yönetimi sorunu giderildi.

CVE-2018-4293: anonim bir araştırmacı

CoreCrypto

İlgili sürümler: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

Etki: Kötü amaçlı bir uygulama, korumalı alanının dışına çıkabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2018-4269: Abraham Masri (@cheesecakeufo)

CUPS

İlgili sürümler: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 ve macOS High Sierra 10.13.5

Etki: Ayrıcalıklı konumdaki bir saldırgan, servis reddi saldırısı gerçekleştirebilir

Açıklama: Doğrulama işlemi iyileştirilerek null işaretçi dereferansı sorunu giderildi.

CVE-2018-4276: Flexera'daki Secunia Research ekibinden Jakub Jirasek

DesktopServices

İlgili sürüm: macOS Sierra 10.12.6

Etki: Yerel bir kullanıcı hassas kullanıcı bilgilerini görüntüleyebilir

Açıklama: Yürütme izninin hatalı olarak verildiği bir izin sorunu vardı. İzin doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2018-4178: Arjen Hendrikse

Intel Grafik Sürücüsü

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2018-4456: Cisco Talos'tan Tyler Bohan

IOGraphics

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Yerel bir kullanıcı çekirdek belleğini okuyabilir

Açıklama: Çekirdek belleğinin açığa çıkmasına neden olan bir sınırların dışında okuma sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2018-4283: @panicaII (Trend Micro'nun Zero Day Initiative programıyla)

Çekirdek

İlgili sürümler: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 ve macOS High Sierra 10.13.5

Etki: Intel® Core tabanlı mikro işlemcilerin kullanıldığı sistemler yerel bir işlemin, spekülatif bir yürütme yan kanalı aracılığıyla başka bir işleme ait Lazy FP durum geri yüklemesini kullanarak veri elde etmesine izin verebilir.

Açıklama: Bir bağlam değişiminin ardından Eager yöntemi ile durum kayıt ve geri yükleme işlemi yerine Lazy FP durum geri yükleme işlemi yapılması. Lazy yöntemi ile geri yüklenmiş durumlar bir işlemin, başka işlemlere ait değerleri elde eden spekülatif bir yürütme yan kanalı aracılığıyla söz konusu işlemlerin kayıt değerlerini ele geçirebildiği açıklara karşı savunmasız olabilir.

FP/SIMD kaydı durum temizleme işlemi kullanılarak, bilgilerin açığa çıkması sorunu giderildi.

CVE-2018-3665: Colin Percival, Amazon Almanya'dan Julian Stecklina, Cyberus Technology GmbH şirketinden (cyberus-technology.de) Thomas Prescher ve SYSGO AG şirketinden (sysgo.com) Zdenek Sojka

Çekirdek

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlarla oluşturulmuş bir NFS ağ paylaşımının bağlanması sistem ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek birden fazla bellek bozulması sorunu giderildi.

CVE-2018-4259: Semmle ve LGTM.com'dan Kevin Backhouse

CVE-2018-4286: Semmle ve LGTM.com'dan Kevin Backhouse

CVE-2018-4287: Semmle ve LGTM.com'dan Kevin Backhouse

CVE-2018-4288: Semmle ve LGTM.com'dan Kevin Backhouse

CVE-2018-4291: Semmle ve LGTM.com'dan Kevin Backhouse

libxpc

İlgili sürümler: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 ve macOS High Sierra 10.13.5

Etki: Bir uygulama yükseltilmiş ayrıcalıklar elde edebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2018-4280: Brandon Azad

libxpc

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlı bir uygulama sınırlandırılmış belleği okuyabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2018-4248: Brandon Azad

LinkPresentation

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlarla oluşturulmuş bir web sitesinin ziyaret edilmesi adres çubuğu sahteciliğine neden olabilir

Açıklama: URL'lerin işlenmesinde adres sahteciliği sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2018-4277: Tencent Xuanwu Lab'den (tencent.com) xisigr

Perl

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Perl'de birden fazla arabellek taşması sorunu vardı

Açıklama: Belleğin işlenmesi iyileştirilerek Perl'deki birden fazla sorun giderildi.

CVE-2018-6797: Brian Carpenter

CVE-2018-6913: GwanYeong Kim

Ruby

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Uzaktaki bir saldırgan uygulamanın beklenmedik bir şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Bu güncellemede Ruby'deki birden fazla sorun giderildi.

CVE-2017-0898

CVE-2017-10784

CVE-2017-14033

CVE-2017-14064

CVE-2017-17405

CVE-2017-17742

CVE-2018-6914

CVE-2018-8777

CVE-2018-8778

CVE-2018-8779

CVE-2018-8780

WebKit

İlgili sürüm: macOS High Sierra 10.13.5

Etki: Kötü amaçlarla oluşturulmuş bir web sitesinin ziyaret edilmesi adres çubuğu sahteciliğine neden olabilir

Açıklama: URL'lerin işlenmesinde adres sahteciliği sorunu vardı. Giriş doğrulama işlemi iyileştirilerek bu sorun giderildi.

CVE-2018-4274: Tomasz Bojarski

Ek teşekkür listesi

App Store

Fleetsmith'ten Jesse Endahl ve Stevie Hryciw ile Dropbox'tan Max Bélanger'e desteği için teşekkür ederiz.

Yardım Görüntüleyici

SecuRing'den Wojciech Reguła'ya (@_r3ggi) dört önlem konusunda sağladığı destek için teşekkür ederiz.

Çekirdek

Trend Micro'dan juwei lin'e (@panicaII) (Trend Micro'nun Zero Day Initiative programıyla) yardımı için teşekkür ederiz.

Güvenlik

Iowa Eyalet Üniversitesi'nden Brad Dahlsten'e desteği için teşekkür ederiz.