关于 macOS High Sierra 10.13.3、安全性更新 2018-001 Sierra 和安全性更新 2018-001 El Capitan 的安全性内容

本文介绍了 macOS High Sierra 10.13.3、安全性更新 2018-001 Sierra 和安全性更新 2018-001 El Capitan 的安全性内容。

关于 Apple 安全性更新

为保护我们的客户,在没有进行调查并推出修补程序或发行版本之前,Apple 不会透露、讨论或确认安全性问题。“Apple 安全性更新”页面上列出了近期发布的版本。

如果需要了解有关安全性的更多信息,请参阅“Apple 产品安全性”页面。您可以使用 Apple 产品安全性 PGP 密钥对与 Apple 的通信进行加密。

如果可能,Apple 安全性文稿会引用 CVE-ID 中列出的安全漏洞。

macOS High Sierra 10.13.3、安全性更新 2018-001 Sierra 和安全性更新 2018-001 El Capitan

发布于 2018 年 1 月 23 日

音频

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6

影响:处理恶意制作的音频文件可能会导致任意代码执行

描述:已通过改进输入验证解决内存损坏问题。

CVE-2018-4094:来自延世大学信息安全实验室的 Mingi Cho、MinSik Shin、Seoyoung Kim、Yeongho Lee 和 Taekyoung Kwon

curl

适用于:macOS High Sierra 10.13.2

影响:curl 中存在多个问题

描述:curl 中存在越界读取问题。已通过改进边界检查解决这个问题。

CVE-2017-8817:由 OSS-Fuzz 发现

EFI

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

描述:Intel 管理引擎固件 11.0/11.5/11.6/11.7/11.10/11.20 内核中的多个缓冲区溢出允许拥有系统本地访问权限的攻击者执行任意代码。 

CVE-2017-5705:来自 Positive Technologies 的 Mark Ermolov 和 Maxim Goryachy

条目添加于 2018 年 1 月 30 日

EFI

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

描述:Intel 管理引擎固件 11.0/11.5/11.6/11.7/11.10/11.20 内核中的多个权限升级允许未经授权的进程通过未指定的矢量访问具有权限的内容。

CVE-2017-5708: 来自 Positive Technologies 的 Mark Ermolov 和 Maxim Goryachy

条目添加于 2018 年 1 月 30 日

IOHIDFamily

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

影响:应用程序或许能够以内核权限执行任意代码

描述:已通过改进内存处理解决内存损坏问题。

CVE-2018-4098: Siguza

内核

适用于:macOS Sierra 10.12.6、OS X El Capitan 10.11.6

影响:应用程序或许能够读取内核内存 -“Meltdown”(熔断)

描述:配备微处理器且采用预测执行和间接分支预测的系统可能会允许通过对数据缓存进行边信道分析来向拥有本地用户访问权限的攻击者未经授权地泄露信息。

CVE-2017-5754:来自 Google Project Zero 的 Jann Horn;来自 Graz University of Technology 的 Moritz Lipp;来自 Graz University of Technology 的 Michael Schwarz;来自 Graz University of Technology 的 Daniel Gruss;来自 Cyberus Technology GmbH 的 Thomas Prescher;来自 Cyberus Technology GmbH 的 Werner Haas;来自 Graz University of Technology 的 Stefan Mangard;来自 University of Pennsylvania 和 University of Maryland 的 Paul Kocher 和 Daniel Genkin;来自 University of Adelaide 和 Data61 的 Yuval Yarom;以及来自 Rambus(密码研究部)的 Mike Hamburg

内核

适用于:macOS High Sierra 10.13.2

影响:应用程序或许能够读取受限内存

描述:已通过改进内存处理解决内存初始化问题。

CVE-2018-4090:来自 Google Project Zero 的 Jann Horn

内核

适用于:macOS High Sierra 10.13.2

影响:应用程序或许能够读取受限内存

描述:已通过改进内存处理解决竞态条件问题。

CVE-2018-4092:来自 Antid0te UG 的 Stefan Esser

条目更新于 2018 年 2 月 8 日

内核

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

影响:恶意应用程序或许能够以内核权限执行任意代码

描述:已通过改进输入验证解决内存损坏问题。

CVE-2018-4082:来自 Google 的 Russ Cox

内核

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6

影响:应用程序或许能够以内核权限执行任意代码

描述:已通过改进验证解决逻辑问题。

CVE-2018-4097: Resecurity, Inc.

内核

适用于:macOS High Sierra 10.13.2

影响:应用程序或许能够读取受限内存

描述:已通过改进输入清理解决验证问题。

CVE-2018-4093: 来自 Google Project Zero 的 Jann Horn

内核

适用于:OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.2

影响:应用程序或许能够以内核权限执行任意代码

描述:已通过改进内存处理解决内存损坏问题。

CVE-2018-4189:匿名研究人员

条目添加于 2018 年 5 月 2 日

内核

适用于:OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.2

影响:应用程序或许能够以内核权限执行任意代码

描述:已通过改进输入验证解决越界读取问题。

CVE-2018-4169:匿名研究人员

条目添加于 2018 年 5 月 2 日

LinkPresentation

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6.2

影响:处理恶意制作的文本信息可能会导致应用程序拒绝服务

描述:已通过改进输入验证解决资源耗尽问题。

CVE-2018-4100: Abraham Masri (@cheesecakeufo)

QuartzCore

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

影响:处理恶意制作的网页内容可能会导致任意代码执行

描述:处理网页内容时存在内存损坏问题。已通过改进输入验证解决这个问题。

CVE-2018-4085:Ret2 Systems Inc. 联合 Trend Micro 的 Zero Day Initiative

远程管理

适用于:macOS Sierra 10.12.6

影响:远程用户或许能够获得根权限

描述:“远程管理”中存在权限问题。已通过改进权限验证解决这个问题。

CVE-2018-4298:来自 SupCloud 的 Tim van der Werff

条目添加于 2018 年 7 月 19 日

沙盒

适用于:macOS High Sierra 10.13.2

影响:沙盒化进程或许能够绕过沙盒限制

描述:已通过增加沙盒限制解决访问问题。

CVE-2018-4091:来自 Mozilla 的 Alex Gaynor

安全性

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6

影响:证书可能存在错误应用的名称限制

描述:处理名称限制时存在证书评估问题。已通过改进证书信任评估解决这个问题。

CVE-2018-4086:来自 Netflix 的 Ian Haken

安全性

适用于:macOS High Sierra 10.13.2

影响:攻击者或许能够在不提供管理员密码的情况下绕过管理员鉴定

描述:验证凭证时存在逻辑错误。已通过改进凭证验证解决这个问题。

CVE-2017-13889:来自 P.E. of Automation Engineering 的 Glenn G. Bruckno;来自 Computer Engineering Politecnico di Milano 的 James Barnes 和 Kevin Manca;来自 University of New Brunswick 的 Rene Malenfant

条目添加于 2018 年 6 月 21 日

触控栏支持

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6

影响:恶意应用程序或许能够以系统权限执行任意代码

描述:已通过改进状态管理解决内存损坏问题。

CVE-2018-4083:来自 Google Project Zero 的 Ian Beer

条目添加于 2018 年 2 月 9 日

WebKit

适用于:macOS High Sierra 10.13.2

影响:处理恶意制作的网页内容可能会导致任意代码执行

描述:已通过改进内存处理解决多个内存损坏问题。

CVE-2018-4088:来自 Theori 的 Jeonghoon Shin

CVE-2018-4089:来自 Google Project Zero 的 Ivan Fratric

CVE-2018-4096:由 OSS-Fuzz 发现

Wi-Fi

适用于:macOS High Sierra 10.13.2、macOS Sierra 10.12.6、OS X El Capitan 10.11.6

影响:应用程序或许能够读取受限内存

描述:已通过改进输入清理解决验证问题。

CVE-2018-4084: 来自 Minionz 的 Hyung Sup Lee;来自汉阳大学的 You Chan Lee

有关非 Apple 制造的产品或非 Apple 控制或测试的独立网站的信息仅供参考,不代表 Apple 的任何建议或保证。Apple 对于第三方网站或产品的选择、性能或使用不承担任何责任。Apple 对于第三方网站的准确性和可靠性不作任何担保。互联网的使用具有一定风险。请联系供应商以了解其他信息。其他公司和产品名称可能是其各自所有公司的商标。

发布日期: