關於 Apple 保安更新
為保障顧客的安全，在完成調查並提供修補程式或更新版本之前，Apple 將不會披露、討論或確認保安問題。最近更新版本已列於 Apple 保安更新網頁。
Apple 保安文件於安全漏洞方面會儘可能參照 CVE-ID。
有關保安的詳情，請參閱 Apple 產品保安網頁。
macOS Big Sur 11.7.7
2023 年 5 月 18 日發佈
Accessibility
適用於：macOS Big Sur
影響：app 可能得以繞過「私隱」偏好設定
說明：改進記錄輸入項目的私人資料修訂機制後，已解決私隱問題。
CVE-2023-32388：Kirin (@Pwnrin)
AppleEvents
適用於：macOS Big Sur
影響：app 可能得以繞過「私隱」偏好設定
說明：改進敏感資料修訂機制後，已解決此問題。
CVE-2023-28191：Mickey Jin (@patch1t)
AppleMobileFileIntegrity
適用於：macOS Big Sur
影響：app 可能得以繞過「私隱」偏好設定
說明：改進權限機制後，已解決此問題。
CVE-2023-32411：Mickey Jin (@patch1t)
AppleMobileFileIntegrity
適用於：macOS Big Sur
影響：app 可能得以將程式碼注入與 Xcode 綑綁的敏感二進制檔案
說明：在系統層面對受影響的二進制檔案強制進行 Hardened Runtime 後，已解決此問題
CVE-2023-32383：James Duffy (mangoSecure)
2023 年 12 月 21 日新增項目
Contacts
適用於：macOS Big Sur
影響：app 可能得以察看未受保護的用戶資料
說明：改進暫存檔案的處理機制後，已解決私隱問題。
CVE-2023-32386：Kirin (@Pwnrin)
CoreCapture
適用於：macOS Big Sur
影響：app 或可以核心權限執行任意程式碼
說明：改進記憶體處理機制後，已解決此問題。
CVE-2023-28181：Tsinghua University 的 Tingting Yin
CUPS
適用於：macOS Big Sur
影響：未經驗證的用戶可能得以取用最近列印的文件
說明：改進狀態管理機制後，已解決驗證問題。
CVE-2023-32360：Gerhard Muth
dcerpc
適用於：macOS Big Sur
影響：遙距攻擊者可能得以導致 app 意外終止或執行任意程式碼
說明：改進記憶體管理機制後，已解決使用釋放後記憶體出錯問題。
CVE-2023-32387：Cisco Talos 的 Dimitrios Tatsis
Dev Tools
適用於：macOS Big Sur
影響：經沙箱處理的 app 可能得以收集系統記錄
說明：改進權限機制後，已解決此問題。
CVE-2023-27945：Mickey Jin (@patch1t)
GeoServices
適用於：macOS Big Sur
影響：app 可能得以讀取敏感的位置資料
說明：改進記錄輸入項目的私人資料修訂機制後，已解決私隱問題。
CVE-2023-32392：Adam M.
2023 年 12 月 21 日更新項目
ImageIO
適用於：macOS Big Sur
影響：處理影像可能導致執行任意程式碼
說明：改進界限檢查機制後，已解決緩衝區溢位問題。
CVE-2023-32384：Meysam Firouzi (@R00tkitSMM) (與 Trend Micro Zero Day Initiative 合作)
IOSurface
適用於：macOS Big Sur
影響：app 可能得以洩漏敏感核心狀態
說明：改進輸入驗證機制後，已解決超出界限的讀取問題。
CVE-2023-32410：hou xuewei (@p1ay8y3ar) vmk msu
Kernel
適用於：macOS Big Sur
影響：app 可能得以獲得根權限
說明：改進狀態處理機制後，已解決競爭條件問題。
CVE-2023-32413：Synacktiv (@Synacktiv) 的 Eloi Benoist-Vanderbeken (@elvanderb) (與 Trend Micro Zero Day Initiative 合作)
Kernel
適用於：macOS Big Sur
影響：app 或可以核心權限執行任意程式碼
說明：改進記憶體管理機制後，已解決使用釋放後記憶體出錯問題。
CVE-2023-32398：ASU SEFCOM 的 Adam Doupé
LaunchServices
適用於：macOS Big Sur
影響：app 可能得以繞過「守衛」檢查
說明：改進檢查機制後，已解決邏輯問題。
CVE-2023-32352：SecuRing (wojciechregula.blog) 的 Wojciech Reguła (@_r3ggi)
libxpc
適用於：macOS Big Sur
影響：app 可能得以修改檔案系統的受保護部分
說明：改進狀態管理機制後，已解決邏輯問題。
CVE-2023-32369：Microsoft 的 Jonathan Bar Or、Microsoft 的 Anurag Bohra 和 Microsoft 的 Michael Pearse
libxpc
適用於：macOS Big Sur
影響：app 可能得以獲得根權限
說明：改進檢查機制後，已解決邏輯問題。
CVE-2023-32405：Computest Sector 7 的 Thijs Alkemade (@xnyhps)
Metal
適用於：macOS Big Sur
影響：app 可能得以繞過「私隱」偏好設定
說明：改進狀態管理機制後，已解決邏輯問題。
CVE-2023-32407：Gergely Kalman (@gergely_kalman)
Model I/O
適用於：macOS Big Sur
影響：處理 3D 模型可能導致執行任意程式碼
說明：改進界限檢查機制後，已解決超出界限的寫入問題。
CVE-2023-32380：Mickey Jin (@patch1t)
Model I/O
適用於：macOS Big Sur
影響：處理 3D 模型可能導致披露程序記憶體
說明：改進輸入驗證機制後，已解決超出界限的讀取問題。
CVE-2023-32382：Mickey Jin (@patch1t)
NetworkExtension
適用於：macOS Big Sur
影響：app 可能得以讀取敏感的位置資料
說明：改進敏感資料修訂機制後，已解決此問題。
CVE-2023-32403：Adam M.
2023 年 12 月 21 日更新項目
PackageKit
適用於：macOS Big Sur
影響：app 可能得以修改檔案系統的受保護部分
說明：改進狀態管理機制後，已解決邏輯問題。
CVE-2023-32355：Mickey Jin (@patch1t)
Perl
適用於：macOS Big Sur
影響：app 可能得以修改檔案系統的受保護部分
說明：改進狀態管理機制後，已解決邏輯問題。
CVE-2023-32395：Arsenii Kostromin (0x3c3e)
Quick Look
適用於：macOS Big Sur
影響：剖析 Office 檔案可能導致 app 意外終止或執行任意程式碼
說明：改進界限檢查機制後，已解決緩衝區溢位問題。
CVE-2023-32401：Deutsche Telekom Security GmbH 的 Holger Fuhrmannek 代表 BSI (German Federal Office for Information Security)
2023 年 12 月 21 日新增項目
Sandbox
適用於：macOS Big Sur
影響：app 即使在撤銷系統設定檔案存取權限後仍可能得以保留此存取權
說明：改進狀態管理機制後，已解決授權問題。
CVE-2023-32357：Yiğit Can YILMAZ (@yilmazcanyigit)、Jeff Johnson、FFRI Security, Inc. 的 Koh M. Nakagawa、Kirin (@Pwnrin)、) 和 Offensive Security 的 Csaba Fitzl (@theevilbit)
Shell
適用於：macOS Big Sur
影響：app 可能得以修改檔案系統的受保護部分
說明：改進狀態管理機制後，已解決邏輯問題。
CVE-2023-32397：Arsenii Kostromin (0x3c3e)
Telephony
適用於：macOS Big Sur
影響：遙距攻擊者可能得以導致 app 意外終止或執行任意程式碼
說明：改進記憶體管理機制後，已解決使用釋放後記憶體出錯問題。
CVE-2023-32412：Google Project Zero 的 Ivan Fratric
特別鳴謝
libxml2
我們特此感謝 OSS-Fuzz、Google Project Zero 的 Ned Williamson 提供協助。
Reminders
我們特此感謝 Kirin (@Pwnrin) 提供協助。
Security
我們特此感謝 James Duffy (mangoSecure) 提供協助。
Wi-Fi
我們特此感謝 Adam M. 提供協助。
2023 年 12 月 21 日更新項目
Wi-Fi Connectivity
我們特此感謝 Adam M. 提供協助。
2023 年 12 月 21 日更新項目