macOS Catalina 10.15'in güvenlik içeriği hakkında

Bu belgede macOS Catalina 10.15'in güvenlik içeriği açıklanmaktadır.

Apple güvenlik güncellemeleri hakkında

Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.

Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.

Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın.

macOS Catalina 10.15

Yayınlanma tarihi: 7 Ekim 2019

AMD

İlgili ürünler: MacBook (2015 Başı ve sonraki modelleri), MacBook Air (2012 Ortası ve sonraki modelleri), MacBook Pro (2012 Ortası ve sonraki modelleri), Mac mini (2012 Sonu ve sonraki modelleri), iMac (2012 Sonu ve sonraki modelleri), iMac Pro (tüm modelleri), Mac Pro (2013 Sonu ve sonraki modelleri)

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8748: TrendMicro Mobile Security Research Team'den Lilang Wu ve Moony Li

apache_mod_php

Etki: PHP'de birden çok güvenlik açığı

Açıklama: PHP 7.3.8 sürümüne güncellenerek birden fazla sorun giderildi.

CVE-2019-11041

CVE-2019-11042

Ses

Etki: Kötü amaçlarla oluşturulmuş bir ses dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8706: Ant-Financial Light-Year Security Lab'den Yu Zhou

Giriş eklenme tarihi: 29 Ekim 2019

Ses

Etki: Kötü amaçlarla oluşturulmuş bir ses dosyasının işlenmesi sınırlandırılmış belleğin açığa çıkmasına neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2019-8850: Anonim bir kişi (Trend Micro'nun Zero Day Initiative programıyla)

Giriş eklenme tarihi: 4 Aralık 2019

Kitaplar

Etki: Kötü amaçlarla oluşturulmuş bir iBooks dosyasının ayrıştırılması, kalıcı bir servis reddi sorununa neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir kaynak tükenmesi sorunu giderildi.

CVE-2019-8774: KU Leuven'deki imec-DistriNet'ten Gertjan Franken

Giriş eklenme tarihi: 29 Ekim 2019

CFNetwork

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası betik saldırısına neden olabilir

Açıklama: Denetimler iyileştirilerek bu sorun giderildi.

CVE-2019-8753: Standard Chartered GBS Polonya'dan Łukasz Pilorz

Giriş eklenme tarihi: 29 Ekim 2019

CoreAudio

Etki: Kötü amaçlarla oluşturulmuş bir filmin işlenmesi işlem belleğinin açığa çıkmasına neden olabilir

Açıklama: Doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8705: VulWar Corp şirketinden riusksk (Trend Micro'nun Zero Day Initiative programıyla)

CoreAudio

Etki: Kötü amaçlı bir ses dosyasını çalmak rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8592: VulWar Corp şirketinden riusksk (Trend Micro'nun Zero Day Initiative programıyla)

Giriş eklenme tarihi: 6 Kasım 2019

CoreCrypto

Etki: Büyük bir girişin işlenmesi servis reddine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir servis reddi sorunu giderildi.

CVE-2019-8741: NIST'ten Nicky Mouha

Giriş eklenme tarihi: 29 Ekim 2019

CoreMedia

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8825: Google Chrome'da GWP-ASan tarafından bulundu

Giriş eklenme tarihi: 29 Ekim 2019

Çökme Raporlayıcı

Etki: Kullanıcı, analiz paylaşma anahtarının seçimini kaldırsa bile "Mac Analizi'ni Paylaş" ayarı etkisizleştirilmeyebilir

Açıklama: Kullanıcı tercihlerini okuma ve yazma sırasında bir yarış durumu vardı. Durumun işlenmesi iyileştirilerek bu sorun giderildi.

CVE-2019-8757: Core Development, LLC şirketinden William Cerniuk

CUPS

Etki: Ayrıcalıklı ağ konumundaki bir saldırgan gizli kullanıcı bilgilerinin açığa çıkmasına neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek bir giriş doğrulama sorunu giderildi.

CVE-2019-8736: ING Tech Poland (ingtechpoland.com) şirketinden Pawel Gocyla

Giriş eklenme tarihi: 29 Ekim 2019

CUPS

Etki: Kötü amaçlarla oluşturulmuş bir dizenin işlenmesi yığın bozulmasına (heap corruption) neden olabilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek tüketimi sorunu giderildi.

CVE-2019-8767: Stephen Zeisberg

Giriş eklenme tarihi: 29 Ekim 2019

CUPS

Etki: Ayrıcalıklı konumdaki bir saldırgan, servis reddi saldırısı gerçekleştirebilir

Açıklama: Doğrulama işlemi iyileştirilerek bir servis reddi sorunu giderildi.

CVE-2019-8737: ING Tech Poland (ingtechpoland.com) şirketinden Pawel Gocyla

Giriş eklenme tarihi: 29 Ekim 2019

dyld

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8776: Google Project Zero'dan Jann Horn

Giriş eklenme tarihi: 3 Şubat 2020

Dosya Karantinası

Etki: Kötü amaçlı bir uygulama ayrıcalıkları yükseltebilir

Açıklama: Savunmasız kod kaldırılarak bu sorun giderildi.

CVE-2019-8509: Ant-Financial LightYear Labs'den CodeColorist

Giriş eklenme tarihi: 29 Ekim 2019

Foundation

Etki: Uzaktaki bir saldırgan uygulamanın beklenmedik bir şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2019-8746: Google Project Zero'dan Natalie Silvanovich ve Samuel Groß

Giriş eklenme tarihi: 29 Ekim 2019

Grafikler

Etki: Kötü amaçlı bir gölgelendiricinin işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir

Açıklama: Giriş doğrulama işlemi iyileştirilerek birden çok bellek bozulması sorunu giderildi.

CVE-2018-12152: Cisco Talos'tan Piotr Bania

CVE-2018-12153: Cisco Talos'tan Piotr Bania

CVE-2018-12154: Cisco Talos'tan Piotr Bania

Giriş eklenme tarihi: 29 Ekim 2019

IOGraphics

Etki: Yerel bir kullanıcı, sistemin beklenmedik bir şekilde sonlandırılmasına neden olabilir veya çekirdek belleği okuyabilir

Açıklama: Sınır denetimi iyileştirilerek sınırların dışında okuma sorunu giderildi.

CVE-2019-8759: 360 Nirvan Team'den another

Giriş eklenme tarihi: 29 Ekim 2019

Intel Grafik Sürücüsü

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8758: Trend Micro'dan Lilang Wu ve Moony Li

IOGraphics

Etki: Kötü amaçlı bir uygulama, çekirdek belleği düzenini belirleyebilir

Açıklama: Sınırlamalar iyileştirilerek bir mantık sorunu giderildi.

CVE-2019-8755: Trend Micro'dan Lilang Wu ve Moony Li

Çekirdek

Etki: Yerel bir uygulama, kalıcı bir hesap tanımlayıcıyı okuyabilir

Açıklama: Mantık iyileştirilerek bir doğrulama sorunu giderildi.

CVE-2019-8809: Apple

Giriş eklenme tarihi: 29 Ekim 2019

Çekirdek

Etki: Kötü amaçlı bir uygulama, çekirdek belleği düzenini belirleyebilir

Açıklama: IPv6 paketlerinin işlenmesinde bir bellek bozulması sorunu vardı. Bellek yönetimi iyileştirilerek bu sorun giderildi.

CVE-2019-8744: Qihoo 360 Vulcan Team'den Zhuo Liang

Giriş eklenme tarihi: 29 Ekim 2019

Çekirdek

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8717: Google Project Zero'dan Jann Horn

Çekirdek

Etki: Bir uygulama çekirdek ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8709: derrek (@derrekr6)

CVE-2019-8781: Linus Henze (pinauten.de)

Giriş güncellenme tarihi: 29 Ekim 2019

libxml2

Etki: libxml2'de birden çok sorun

Açıklama: Giriş doğrulama işlemi iyileştirilerek birden çok bellek bozulması sorunu giderildi.

CVE-2019-8749: OSS-Fuzz tarafından bulundu

CVE-2019-8756: OSS-Fuzz tarafından bulundu

Giriş eklenme tarihi: 29 Ekim 2019

libxslt

Etki: libxslt'de birden çok sorun

Açıklama: Giriş doğrulama işlemi iyileştirilerek birden çok bellek bozulması sorunu giderildi.

CVE-2019-8750: OSS-Fuzz tarafından bulundu

Giriş eklenme tarihi: 29 Ekim 2019

mDNSResponder

Etki: Fiziksel olarak yakında bulunan bir saldırgan, AWDL iletişimlerindeki aygıt adlarını pasif olarak gözlemleyebilir

Açıklama: Aygıt adları rastgele bir tanımlayıcıyla değiştirilerek bu sorun çözüldü.

CVE-2019-8799: Darmstadt Teknik Üniversitesindeki Secure Mobile Networking Lab'den David Kreitschmann ve Milan Stute

Giriş eklenme tarihi: 29 Ekim 2019

Menüler

Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Durum yönetimi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8826: Google Chrome'da GWP-ASan tarafından bulundu

Giriş eklenme tarihi: 29 Ekim 2019

Notlar

Etki: Yerel bir kullanıcı, bir kullanıcının kilitli notlarını görüntüleyebilir

Açıklama: Kilitli notların içerikleri bazen arama sonuçlarında görülüyordu. Veri temizleme işlemi iyileştirilerek bu sorun giderildi.

CVE-2019-8730: Virginia Politeknik Enstitüsü ve Devlet Üniversitesinden Jamie Blumberg (@jamie_blumberg)

PDFKit

Etki: Bir saldırgan, şifreli PDF'lerin içeriğini sızdırabilir

Açıklama: Şifreli PDF'lerdeki bağlantıların işlenmesinde bir sorun vardı. Bir onay istemi eklenerek bu sorun giderildi.

CVE-2019-8772: Bochum Ruhr Üniversitesinden Jens Müller, FH Münster Üniversitesi Uygulamalı Bilimler Fakültesinden Fabian Ising, Bochum Ruhr Üniversitesinden Vladislav Mladenov, Bochum Ruhr Üniversitesinden Christian Mainka, FH Münster Üniversitesi Uygulamalı Bilimler Fakültesinden Sebastian Schinzel ve Bochum Ruhr Üniversitesinden Jörg Schwenk

PluginKit

Etki: Yerel bir kullanıcı rastgele dosyaların varlığını kontrol edebilir

Açıklama: Sınırlamalar iyileştirilerek bir mantık sorunu giderildi.

CVE-2019-8708: anonim bir araştırmacı

Giriş eklenme tarihi: 29 Ekim 2019

PluginKit

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8715: anonim bir araştırmacı

Giriş eklenme tarihi: 29 Ekim 2019

Korumalı Alan (Sandbox)

Etki: Kötü amaçlı bir uygulama, sınırlanmış dosyalara erişebilir

Açıklama: Ek korumalı alan sınırlamalarıyla bir erişim sorunu giderildi.

CVE-2019-8855: Apple

Giriş eklenme tarihi: 18 Aralık 2019

SharedFileList

Etki: Kötü amaçlı bir uygulama son kullanılan belgelere erişebilir

Açıklama: İzin mantığı iyileştirilerek bu sorun giderildi.

CVE-2019-8770: Parallels International GmbH şirketinden Stanislav Zinukhov

sips

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8701: Qihoo 360 IceSword Lab'den Simon Huang (@HuangShaomang fan), Rong Fan (@fanrong1992) ve pjf

UIFoundation

Etki: Kötü amaçlarla oluşturulmuş bir metin dosyasının ayrıştırılması kullanıcı bilgilerinin açığa çıkmasına neden olabilir

Açıklama: Denetimler iyileştirilerek bu sorun giderildi.

CVE-2019-8761: Limehats'ten Paulos Yibelo, SpectX'ten Renee Trisberg

Giriş güncellenme tarihi: 10 Ağustos 2020

UIFoundation

Etki: Kötü amaçlarla oluşturulmuş bir metin dosyasının işlenmesi rastgele kod yürütülmesine neden olabilir

Açıklama: Sınır denetimi iyileştirilerek bir arabellek taşması sorunu giderildi.

CVE-2019-8745: VulWar Corp şirketinden riusksk (Trend Micro'nun Zero Day Initiative programıyla)

UIFoundation

Etki: Bir uygulama sistem ayrıcalıklarıyla rastgele kod yürütebilir

Açıklama: Belleğin işlenmesi iyileştirilerek bir bellek bozulması sorunu giderildi.

CVE-2019-8831: VulWar Corp şirketinden riusksk (Trend Micro'nun Zero Day Initiative programıyla)

Giriş eklenme tarihi: 18 Kasım 2019

WebKit

Etki: Kötü amaçlarla oluşturulmuş bir web sitesinin ziyaret edilmesi dolaşma geçmişini açığa çıkarabilir

Açıklama: Web sayfası öğelerinin alınmasında bir sorun vardı. Mantık iyileştirilerek bu sorun giderildi.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Etki: Kullanıcılar, dolaşma geçmişi öğelerini silemeyebilir

Açıklama: "Geçmişi ve Web Sitesi Verilerini Sil" seçeneği geçmişi temizlemedi. Veri silme işlemi iyileştirilerek bu sorun giderildi.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Wi-Fi

Etki: Bir aygıt, Wi-Fi MAC adresi aracılığıyla pasif olarak izlenebilir

Açıklama: MAC yayın adresi kaldırılarak bir kullanıcı gizliliği sorunu giderildi.

CVE-2019-8854: Amerika Birleşik Devletleri Deniz Harp Okulundan FuriousMacTeam ve Mitre Cooperation, UCCU Hacker'dan Ta-Lun Yen

Giriş eklenme tarihi: 4 Aralık 2019, giriş güncellenme tarihi: 18 Aralık 2019

Ek teşekkür listesi

AppleRTC

Vitaly Cheptsov'a yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

Ses

VulWar Corp şirketinden riusksk'e (Trend Micro'nun Zero Day Initiative programıyla) yardımıyla teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

boringssl

Tel Aviv Üniversitesinden Nimrod Aviram'a, Bochum Ruhr Üniversitesinden Robert Merget ve Juraj Somorovsky'ye, Computest'ten Thijs Alkemade'ye (@xnyhps) yardımları için teşekkür ederiz.

Giriş eklenme tarihi: 8 Ekim 2019, giriş güncellenme tarihi: 29 Ekim 2019

curl

Philadelphia Okul Bölgesi'nden Joseph Barisa'ya yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 3 Şubat 2020, giriş güncellenme tarihi: 11 Şubat 2020

Finder

Csaba Fitzl'e (@theevilbit) yardımı için teşekkür ederiz.

Gatekeeper

Csaba Fitzl'e (@theevilbit) yardımı için teşekkür ederiz.

Kimlik Servisi

Yiğit Can YILMAZ'a (@yilmazcanyigit) yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

Çekirdek

Google Project Zero'dan Brandon Azad'a ve Vlad Tsyrklevich'e yardımları için teşekkür ederiz.

Giriş güncellenme tarihi: 28 Temmuz 2020

Yerel Kimlik Doğrulaması

Ryan Lopopolo'ya yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 3 Şubat 2020

mDNSResponder

e.solutions GmbH şirketinden Gregor Lang'e yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

python

Anonim bir araştırmacıya yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

Safari Verilerini İçe Aktarma

Kent Zoya'ya yardımı için teşekkür ederiz.

Güvenlik

Pepijn Dutour Geerling'e (pepijn.io) ve anonim bir araştırmacıya yardımları için teşekkür ederiz.

Giriş eklenme tarihi: 18 Kasım 2019

Basit sertifika kayıt protokolü (SCEP)

Anonim bir araştırmacıya yardımı için teşekkür ederiz.

Siri

İsrail Teknoloji Enstitüsü Technion'dan Yuval Ron, Amichai Shulman ve Eli Biham'a yardımları için teşekkür ederiz.

Giriş eklenme tarihi: 4 Aralık 2019, giriş güncellenme tarihi: 18 Aralık 2019

Telefon

SentinelOne'dan Phil Stokes'a yardımı için teşekkür ederiz.

VPN

Second Son Consulting, Inc. şirketinden Royce Gawron'a yardımı için teşekkür ederiz.

Giriş eklenme tarihi: 29 Ekim 2019

Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen veya test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri veya onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.

Yayın Tarihi: 13 Ağustos 2020