Проблеми системи безпеки, які усунено в оновленні visionOS 1.3

У цьому документі описано проблеми системи безпеки, які усунено в оновленні visionOS 1.3.

Про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

visionOS 1.3

Дата випуску: 29 липня 2024 р.

AirDrop

Цільові продукти: Apple Vision Pro

Вплив: до файлу, отриманого через AirDrop, може не застосовуватися прапорець карантину.

Опис: проблему вирішено завдяки вдосконаленню керування станами.

CVE-2024-54564: користувач Linwz із DEVCORE

Запис додано 20 березня 2025 р.

Apple Neural Engine

Цільові продукти: Apple Vision Pro

Вплив: локальний зловмисник може спричиняти несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-27826: Ye Zhang (@VAR10CK) із Baidu Security та Minghao Lin

AppleAVD

Цільові продукти: Apple Vision Pro

Вплив: програма може спричинити несподіване завершення роботи системи.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)

CoreGraphics

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-40799: користувач D4m0n

ImageIO

Цільові продукти: Apple Vision Pro

Вплив: обробка зображення може призвести до відмови в обслуговуванні.

Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Дізнайтеся більше про проблему та ідентифікатор CVE на сайті cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-40806: користувач Yisumi

ImageIO

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2024-40777: Junsung Lee, який працює з Trend Micro Zero Day Initiative, а також Amir Bazine і Karsten König із CrowdStrike Counter Adversary Operations

ImageIO

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого файлу може призводити до неочікуваного завершення роботи програми.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-40784: Junsung Lee, який працює з Trend Micro Zero Day Initiative, і користувач Gandalf4a

Kernel

Цільові продукти: Apple Vision Pro

Вплив: локальний зловмисник може визначати схему розподілу пам’яті в ядрі

Опис: проблему з розкриттям інформації вирішено шляхом поліпшення редагування приватних даних для записів журналу.

CVE-2024-27863: команда CertiK SkyFall

Kernel

Цільові продукти: Apple Vision Pro

Вплив: зловмисник із привілейованим положенням у мережі може імітувати мережеві пакети.

Опис: проблему з виникненням умови змагання вирішено завдяки вдосконаленню блокування.

CVE-2024-27823: професор Benny Pinkas із Bar-Ilan University, професор Amit Klein із Hebrew University та EP

Kernel

Цільові продукти: Apple Vision Pro

Вплив: локальний зловмисник може спричиняти несподіване завершення роботи системи.

Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню обробки звернень до пам’яті.

CVE-2024-40788: Minghao Lin і Jiaxun Zhu з Zhejiang University

Presence

Цільові продукти: Apple Vision Pro

Вплив: Persona могла блокувати введення з віртуальної клавіатури.

Опис: проблему вирішено шляхом прибирання Persona, коли активна віртуальна клавіатура.

CVE-2024-40865: Hanqiu Wang з Університету Флориди, Zihao Zhan з Техаського технологічного університету, Haoqi Shan із Certik, Siqi Dai з Університету Флориди, Max Panoff з Університету Флориди та Shuo Wang з Університету Флориди

Запис додано 5 вересня 2024 р.

Shortcuts

Цільові продукти: Apple Vision Pro

Вплив: швидка команда може обходити вимоги для дозволів на доступ до Інтернету.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2024-40809: анонімний дослідник

CVE-2024-40812: анонімний дослідник

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка вебконтенту може призводити до відмови в обслуговуванні.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

WebKit Bugzilla: 275117

CVE-2024-54551: ajajfxhj

Запис додано 20 березня 2025 р.

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.

WebKit Bugzilla: 273176

CVE-2024-40776: Huang Xilin з Ant Group Light-Year Security Lab

WebKit Bugzilla: 268770

CVE-2024-40782: Maksymilian Motyl

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему з читанням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.

WebKit Bugzilla: 275431

CVE-2024-40779: Huang Xilin з Ant Group Light-Year Security Lab

WebKit Bugzilla: 275273

CVE-2024-40780: Huang Xilin з Ant Group Light-Year Security Lab

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого вебконтенту може призводити до атаки за допомогою міжсайтових сценаріїв.

Опис: цю проблему усунено завдяки поліпшенню перевірок.

WebKit Bugzilla: 273805

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему з доступом за межами виділеної пам’яті усунуто завдяки вдосконаленню перевірки меж.

CVE-2024-40789: Seunghyun Lee (@0x10n) із KAIST Hacking Lab, який працює з Trend Micro Zero Day Initiative

WebKit

Цільові продукти: Apple Vision Pro

Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 276097

CVE-2024-44185: Gary Kwong

Запис додано 15 жовтня 2024 р.

WebKit

Цільові продукти: Apple Vision Pro

Вплив: користувач може обходити деякі обмеження вебконтенту.

Опис: проблему з обробкою URL-протоколів вирішено завдяки вдосконаленню алгоритмів.

WebKit Bugzilla: 280765

CVE-2024-44206: Andreas Jaegersberger і Ro Achterberg

Запис додано 15 жовтня 2024 р.

Додаткова подяка

Shortcuts

Дякуємо за допомогу анонімному досліднику.

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: