Відомості про оновлення системи безпеки Apple
Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. на сторінці Оновлення системи безпеки Apple.
Документи про безпеку Apple класифікують вразливості за кодами CVE-ID, коли це можливо.
Щоб отримати додаткову інформацію про безпеку, див. сторінку Безпека продуктів Apple.
macOS Big Sur 11.7.5
Випущено 27 березня 2023 р.
Apple Neural Engine
Цільові продукти: macOS Big Sur.
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-23540: Мохамед Ганнам (Mohamed Ghannam, @_simo36)
AppleAVD
Цільові продукти: macOS Big Sur.
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
CVE-2022-26702: анонімний дослідник, Антоніо Зекіч (Antonio Zekic, @antoniozekic) і Джон Акерблом (John Aakerblom, @jaakerblom)
AppleMobileFileIntegrity
Цільові продукти: macOS Big Sur.
Вплив: користувач може отримати доступ до захищених частин файлової системи.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-23527: Міккі Джин (Mickey Jin, @patch1t)
Archive Utility
Цільові продукти: macOS Big Sur.
Вплив: архів може обійти перевірку Gatekeeper
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-27951: Брендон Далтон (Brandon Dalton, @partyD0lphin) із Red Canary та Чаба Фіцль (Csaba Fitzl, @theevilbit) з Offensive Security
Запис оновлено 11 травня 2023 р.
Calendar
Цільові продукти: macOS Big Sur.
Вплив: імпорт зловмисно створеного запрошення до події календаря може призвести до витоку інформації користувача.
Опис: кілька проблем із перевіркою усунено завдяки поліпшеній обробці вводу.
CVE-2023-27961: Різа Сабунчу (Rıza Sabuncu, @rizasabuncu)
Carbon Core
Цільові продукти: macOS Big Sur.
Вплив: обробка шкідливого зображення може призводити до розкриття пам’яті процесів.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-23534: Міккі Джин (Mickey Jin, @patch1t)
ColorSync
Цільові продукти: macOS Big Sur.
Вплив: програма може читати довільні файли.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-27955: користувач JeongOhKyea
CommCenter
Цільові продукти: macOS Big Sur.
Вплив: програма може спричиняти несподіване завершення роботи системи або записувати пам’ять ядра.
Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.
CVE-2023-27936: Тінджинь Інь (Tingting Yin) з Університету Цінхуа
dcerpc
Цільові продукти: macOS Big Sur.
Вплив: віддалений користувач може спричинити несподіване завершення роботи програми або виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню перевірки меж.
CVE-2023-27935: Александар Ніколіч (Aleksandar Nikolic) із Cisco Talos
dcerpc
Цільові продукти: macOS Big Sur.
Вплив: віддалений користувач може спричиняти несподіване завершення роботи системи або пошкодження пам’яті ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-27953: Александар Ніколіч (Aleksandar Nikolic) із Cisco Talos
CVE-2023-27958: Александар Ніколіч (Aleksandar Nikolic) із Cisco Talos
Find My
Цільові продукти: macOS Big Sur.
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.
CVE-2023-23537: анонімний дослідник
FontParser
Цільові продукти: macOS Big Sur.
Вплив: обробка файлу шрифту може призводити до виконання довільного коду
Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.
CVE-2023-32366: Ye Zhang (@VAR10CK) з Baidu Security
Запис додано 21 грудня 2023 р.
Foundation
Цільові продукти: macOS Big Sur.
Вплив: аналіз шкідливого файлу plist може призводити до несподіваного завершення роботи програми або виконання довільного коду.
Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.
CVE-2023-27937: анонімний дослідник
Identity Services
Цільові продукти: macOS Big Sur.
Вплив: програма може отримати доступ до інформації про контакти користувача.
Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.
CVE-2023-27928: Чаба Фіцль (Csaba Fitzl, @theevilbit) з Offensive Security
ImageIO
Цільові продукти: macOS Big Sur.
Вплив: обробка шкідливого файлу може призводити до несподіваного завершення роботи програми або виконання довільного коду.
Опис: проблему з читанням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірки меж.
CVE-2023-27946: Міккі Джин (Mickey Jin, @patch1t)
ImageIO
Цільові продукти: macOS Big Sur.
Вплив: обробка шкідливого зображення може призводити до розкриття пам’яті процесів.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-23535: користувач ryuzaki
IOAcceleratorFamily
Цільові продукти: macOS Big Sur.
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
CVE-2023-32378: Murray Mike
Запис додано 21 грудня 2023 р.
Kernel
Цільові продукти: macOS Big Sur.
Вплив: програма може розкривати дані з пам’яті ядра.
Опис: виникала проблема читання за межами виділеної області, що призводило до витоку пам’яті ядра. Цю проблему вирішено завдяки поліпшенню перевірки вводу.
CVE-2023-27941: Арсеній Костромін (Arsenii Kostromin, 0x3c3e)
CVE-2023-28199: Арсеній Костромін (Arsenii Kostromin, 0x3c3e)
Запис додано 11 травня 2023 р. та оновлено 21 грудня 2023 р.
Kernel Цільові продукти: macOS Big Sur. Вплив: програма може виконувати довільний код із привілеями ядра. Опис: проблему вирішено завдяки вдосконаленню перевірки меж. CVE-2023-23536: Фелікс Пулен-Беланже (Félix Poulin-Bélanger) і Девід Пан Огеа (David Pan Ogea) Запис додано 11 травня 2023 р. та оновлено 21 грудня 2023 р.
Kernel Цільові продукти: macOS Big Sur. Вплив: програма може виконувати довільний код із привілеями ядра. Опис: покращене керування пам’яттю усунуло проблему Use-After-Free. CVE-2023-23514: Сіньжу Чи (Xinru Chi) з Pangu Lab і Нед Вільямсон (Ned Williamson) із Google Project Zero Kernel Цільові продукти: macOS Big Sur. Вплив: програма може розкривати дані з пам’яті ядра. Опис: проблему з перевіркою усунено завдяки поліпшеній обробці вводу. CVE-2023-28200: Арсеній Костромін (Arsenii Kostromin, 0x3c3e) Kernel Цільові продукти: macOS Big Sur. Вплив: програма може спричинити відмову в обслуговуванні. Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу. CVE-2023-28185: Pan ZhenPeng зі STAR Labs SG Pte. Ltd. Запис додано 21 грудня 2023 р.
LaunchServices Цільові продукти: macOS Big Sur. Вплив: програма може отримувати права кореневого користувача. Опис: цю проблему вирішено завдяки вдосконаленню перевірок. CVE-2023-23525: Міккі Джин (Mickey Jin, @patch1t) Запис додано 11 травня 2023 р.
libpthread Цільові продукти: macOS Big Sur. Вплив: програма може виконувати довільний код із привілеями ядра. Опис: проблему з переплутуванням типів вирішено завдяки вдосконаленню перевірок. CVE-2023-41075: користувач Zweig із Kunlun Lab Запис додано 21 грудня 2023 р.
Mail Цільові продукти: macOS Big Sur. Вплив: програма може переглядати конфіденційну інформацію. Опис: проблему вирішено завдяки вдосконаленню перевірок. CVE-2023-28189: Міккі Джин (Mickey Jin, @patch1t) Запис додано 11 травня 2023 р.
Messages Цільові продукти: macOS Big Sur. Вплив: програма може отримувати доступ до конфіденційних даних користувача. Опис: проблему з доступом вирішено завдяки додатковим обмеженням ізольованого програмного середовища. CVE-2023-28197: Джошуа Джонс (Joshua Jones) Запис додано 21 грудня 2023 р.
NetworkExtension Цільові продукти: macOS Big Sur. Вплив: користувач із привілейованим положенням у мережі може мати змогу імітувати на пристрої сервер VPN, який налаштовано на автентифікацію лише за допомогою EAP. Опис: цю проблему вирішено завдяки вдосконаленню аутентифікації. CVE-2023-28182: Чжовей Чжан (Zhuowei Zhang) PackageKit Цільові продукти: macOS Big Sur. Вплив: програма може змінювати захищені частини файлової системи. Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок. CVE-2023-27962: Міккі Джин (Mickey Jin, @patch1t) Podcasts Цільові продукти: macOS Big Sur. Вплив: програма може отримувати доступ до конфіденційних даних користувача. Опис: проблему вирішено завдяки вдосконаленню перевірок. CVE-2023-27942: Міккі Джин (Mickey Jin, @patch1t) Запис додано 11 травня 2023 р.
System Settings Цільові продукти: macOS Big Sur. Вплив: програма може отримувати доступ до конфіденційних даних користувача. Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу. CVE-2023-23542: Adam M. Запис оновлено 21 грудня 2023 р.
System Settings Цільові продукти: macOS Big Sur. Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію. Опис: проблему з дозволами вирішено завдяки вдосконаленню перевірки. CVE-2023-28192: Гільєрме Рамбо (Guilherme Rambo) з Best Buddy Apps (rambo.codes) Vim Цільові продукти: macOS Big Sur. Вплив: виявлено кілька проблем у Vim. Опис: численні проблеми вирішено через оновлення Vim до версії 9.0.1191. CVE-2023-0433 CVE-2023-0512 XPC Цільові продукти: macOS Big Sur. Вплив: програма може виходити за межі ізольованого середовища. Опис: цю проблему усунено завдяки новій процедурі надання прав. CVE-2023-27944: Міккі Джин (Mickey Jin, @patch1t)
Додаткова подяка
Activation Lock
Дякуємо за допомогу Крістіану Міна (Christian Mina).
AppleMobileFileIntegrity
Дякуємо за допомогу Войцеху Регулі (Wojciech Reguła, @_r3ggi) з SecuRing (wojciechregula.blog).
CoreServices
Дякуємо за допомогу Міккі Джину (Mickey Jin, @patch1t).
NSOpenPanel
Дякуємо за допомогу Александре Колуччі (Alexandre Colucci, @timacfr).
Wi-Fi
Дякуємо за допомогу анонімному досліднику.