Відомості про оновлення системи безпеки Apple
Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.
У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.
Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.
macOS Ventura 13.6.1
Дата випуску: 25 жовтня 2023 р.
CoreAnimation
Доступно для: macOS Ventura
Вплив: програма може спричинити відмову в обслуговуванні.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-40449: Tomi Tokics (@tomitokics) з iTomsn0w
Core Recents
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему вирішено за допомогою контрольної обробки журналів.
CVE-2023-42823
Запис додано 16 лютого 2024 року
FileProvider
Доступно для: macOS Ventura
Вплив: шкідлива програма може спричинити відмову в обслуговуванні клієнтів Endpoint Security.
Опис: проблему вирішено шляхом видалення вразливого коду.
CVE-2023-42854: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)
Find My
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних про геопозицію.
Опис: цю проблему вирішено завдяки вдосконаленню обробки кешу.
CVE-2023-40413: Adam M.
Foundation
Доступно для: macOS Ventura
Вплив: вебсайт може отримувати доступ до конфіденційних даних користувача під час розв’язання символьних посилань.
Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.
CVE-2023-42844: Ron Masas із BreakPoint.SH
Image Capture
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до захищених даних користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-41077: Mickey Jin (@patch1t)
ImageIO
Доступно для: macOS Ventura
Вплив: обробка зображення може призводити до розкриття пам’яті процесів.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-40416: користувач JZ
ImageIO
Доступно для: macOS Ventura
Вплив: обробка шкідливого зображення може призводити до пошкодження динамічної пам’яті.
Опис: проблему вирішено завдяки вдосконаленню перевірки меж.
CVE-2023-42848: користувач JZ
Запис додано 16 лютого 2024 року
IOTextEncryptionFamily
Доступно для: macOS Ventura
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-40423: анонімний дослідник
iperf3
Доступно для: macOS Ventura
Вплив: віддалений користувач може спричинити несподіване завершення роботи програми або виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-38403
Kernel
Доступно для: macOS Ventura
Вплив: зловмисник, який уже дійшов до виконання коду в ядрі, може обходити засоби захисту пам’яті ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-42849: Linus Henze із Pinauten GmbH (pinauten.de)
libc
Доступно для: macOS Ventura
Вплив: обробка шкідливих вхідних даних може призвести до виконання довільного коду в програмах, інстальованих користувачем.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-40446: користувач inooo
Запис додано 3 листопада 2023 р.
libxpc
Доступно для: macOS Ventura
Вплив: зловмисна програма може підвищувати рівень привілеїв до кореневого користувача.
Опис: проблему усунено завдяки поліпшенню обробки символьних посилань.
CVE-2023-42942: Mickey Jin (@patch1t)
Запис додано 16 лютого 2024 року
Model I/O
Доступно для: macOS Ventura
Вплив: обробка файлу може призводити до несподіваного завершення роботи програми або виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-42856: Michael DePlante (@izobashi) з компанії Trend Micro в межах ініціативи Zero Day Initiative
PackageKit
Доступно для: macOS Ventura
Вплив: програма може змінювати захищені частини файлової системи.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-42859: Arsenii Kostromin (0x3c3e), Mickey Jin (@patch1t) і компанія Hevel Engineering
CVE-2023-42877: Arsenii Kostromin (0x3c3e)
Запис додано 16 лютого 2024 року
PackageKit
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-42840: Mickey Jin (@patch1t) і Csaba Fitzl (@theevilbit) з Offensive Security
Запис додано 16 лютого 2024 року
PackageKit
Доступно для: macOS Ventura
Вплив: програма може обходити певні параметри приватності.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-42889: Mickey Jin (@patch1t)
Запис додано 16 лютого 2024 року
PackageKit
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.
CVE-2023-42853: Mickey Jin (@patch1t)
Запис додано 16 лютого 2024 року
PackageKit
Доступно для: macOS Ventura
Вплив: програма може змінювати захищені частини файлової системи.
Опис: проблему з доступом усунено за допомогою додаткових обмежень.
CVE-2023-42860: Koh M. Nakagawa (@tsunek0h) з FFRI Security, Inc.
Запис додано 16 лютого 2024 року
Passkeys
Доступно для: macOS Ventura
Вплив: зловмисник може отримати доступ до ключів допуску без автентифікації.
Опис: проблему усунуто завдяки додатковим перевіркам дозволів.
CVE-2023-40401: анонімний дослідник та користувач weize she
Pro Res
Доступно для: macOS Ventura
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2023-42841: Mingxuan Yang (@PPPF00L), користувач happybabywu та Guang Gong із 360 Vulnerability Research Institute
Pro Res
Доступно для: macOS Ventura
Вплив: програма може виконувати довільний код із привілеями ядра.
Опис: проблему вирішено завдяки вдосконаленню перевірки меж.
CVE-2023-42873: Mingxuan Yang (@PPPF00L), користувач happybabywu та Guang Gong із 360 Vulnerability Research Institute
Запис додано 16 лютого 2024 року
SQLite
Доступно для: macOS Ventura
Вплив: віддалений користувач може спричинити відмову в обслуговуванні.
Опис: цю проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-36191
Запис додано 16 лютого 2024 року
talagent
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему з доступом усунено за допомогою додаткових обмежень.
CVE-2023-40421: Noah Roskin-Frazee та користувач Prof. J. (ZeroClicks.ai Lab)
Weather
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему з приватністю вирішено шляхом поліпшення редагування приватних даних для записів журналу.
CVE-2023-41254: Cristian Dinca з Національної вищої школи комп’ютерних наук імені Тудора Віану, Румунія
WindowServer
Доступно для: macOS Ventura
Вплив: певний вебсайт може отримувати доступ до мікрофона без відображення індикатора використання мікрофона.
Опис: проблему вирішено шляхом видалення вразливого коду.
CVE-2023-41975: анонімний дослідник
WindowServer
Доступно для: macOS Ventura
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2023-42858: анонімний дослідник
Запис додано 16 лютого 2024 року
Додаткова подяка
GPU Drivers
Дякуємо за допомогу анонімному досліднику.
libarchive
Дякуємо за допомогу користувачу Bahaa Naamneh.
libxml2
Дякуємо за допомогу компанії OSS-Fuzz і користувачу Ned Williamson із підрозділу Google Project Zero.