Відомості про проблеми системи безпеки, які усунено в оновленні macOS Sonoma 14.3

У цьому документі описано проблеми системи безпеки, які усунено в оновленні macOS Sonoma 14.3.

Відомості про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

macOS Sonoma 14.3

Дата випуску: 22 січня 2024 р.

Apple Neural Engine

Цільовий продукт: macOS Sonoma

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23212: Ye Zhang із Baidu Security

CoreCrypto

Цільовий продукт: macOS Sonoma

Вплив: зловмисник може розшифрувати застарілі шифротексти RSA PKCS#1 версії 1.5 без приватного ключа.

Опис: проблему побічних каналів синхронізації усунено через поліпшення обчислень постійного часу в криптографічних функціях.

CVE-2024-23218: Clemens Lang

Finder

Цільовий продукт: macOS Sonoma

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-23224: Brian McNulty

Kernel

Цільовий продукт: macOS Sonoma

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23208: користувачі fmyy(@binary_fmyy) і lime із TIANGONG Team of Legendsec у QI-ANXIN Group

libxpc

Цільовий продукт: macOS Sonoma

Вплив: програма може спричинити відмову в обслуговуванні.

Опис: проблему з доступом усунено за допомогою додаткових обмежень.

CVE-2024-23201: Koh M. Nakagawa з FFRI Security, Inc. і анонімний дослідник

Запис додано 7 березня 2024 р.

LLVM

Цільовий продукт: macOS Sonoma

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-23209

Mail Search

Цільовий продукт: macOS Sonoma

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-23207: Noah Roskin-Frazee, користувач Prof. J. (ZeroClicks.ai Lab) та Ian de Marcellus

NSSpellChecker

Цільовий продукт: macOS Sonoma

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки файлів.

CVE-2024-23223: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)

Power Manager

Цільовий продукт: macOS Sonoma

Вплив: програма може розкривати дані з пам’яті пошкодженого співпроцесора.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-27791: Pan ZhenPeng (@Peterpan0927) зі STAR Labs SG Pte. Ltd.

Запис додано 24 квітня 2024 р.

Safari

Цільовий продукт: macOS Sonoma

Вплив: дії користувача в режимі Приватного перегляду можна побачити в програмі «Параметри».

Опис: проблему з приватністю усунено завдяки вдосконаленню обробки користувацьких налаштувань.

CVE-2024-23211: Mark Bowers

Shortcuts

Цільовий продукт: macOS Sonoma

Вплив: швидка команда може мати змогу використовувати конфіденційні дані з певними діями, не питаючи дозвіл у користувача.

Опис: проблему усунуто завдяки додатковим перевіркам дозволів.

CVE-2024-23203: анонімний дослідник

CVE-2024-23204: Jubaer Alnazi (@h33tjubaer)

Shortcuts

Цільовий продукт: macOS Sonoma

Вплив: програма може обходити певні параметри приватності.

Опис: проблему з приватністю вирішено завдяки вдосконаленню обробки тимчасових файлів.

CVE-2024-23217: Kirin (@Pwnrin)

TCC

Цільовий продукт: macOS Sonoma

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки вдосконаленню обробки тимчасових файлів.

CVE-2024-23215: Zhongquan Li (@Guluisacat)

Time Zone

Цільовий продукт: macOS Sonoma

Вплив: програма може переглядати номер телефону користувача в системних журналах.

Опис: проблему вирішено шляхом удосконалення редагування конфіденційної інформації.

CVE-2024-23210: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)

WebKit

Цільовий продукт: macOS Sonoma

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему вирішено завдяки вдосконаленню обмежень доступу.

WebKit Bugzilla: 262699

CVE-2024-23206: анонімний дослідник

WebKit

Цільовий продукт: macOS Sonoma

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

WebKit Bugzilla: 266619

CVE-2024-23213: Wangtaiyu із Zhongfu info

WebKit

Цільовий продукт: macOS Sonoma

Вплив: обробка шкідливого вебвмісту може призводити до виконання довільного коду.

Опис: декілька проблем із пошкодженням даних у пам’яті усунено шляхом поліпшення обробки звернень до пам’яті.

WebKit Bugzilla: 265129

CVE-2024-23214: Nan Wang (@eternalsakura13) із 360 Vulnerability Research Institute

WebKit

Цільовий продукт: macOS Sonoma

Вплив: обробка шкідливого вебвмісту може призводити до виконання довільного коду. Компанії Apple відомо, що цією проблемою могли користуватися.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 267134

CVE-2024-23222

WebKit

Цільовий продукт: macOS Sonoma

Вплив: шкідливий вебсайт може несподівано призвести до неправильної поведінки.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 265812

CVE-2024-23271: James Lee (@Windowsrcer)

Запис додано 24 квітня 2024 р.

Додаткова подяка

NetworkExtension

Дякуємо за допомогу користувачу Nils Rollshausen.

Запис додано 24 квітня 2024 р.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: