關於 macOS Sequoia 15.1 的安全性內容

本文說明 macOS Sequoia 15.1 的安全性內容。

關於 Apple 安全性更新

為保障客戶的安全,Apple 在進行調查並提供修補程式或版本之前,不會揭露、討論或確認安全性問題。最新版本列於「Apple 安全性發佈」頁面上。

Apple 安全性文件會盡可能以 CVE-ID 參照安全漏洞。

如需安全性的詳細資訊,請參閱「Apple 產品安全性」頁面。

關於 macOS Sequoia 15.1 的安全性內容

2024 年 10 月 28 日發行

Apache

影響:Apache 出現多個問題

說明:這是開放原始碼的漏洞,而 Apple 軟體是受影響的專案之一。CVE-ID 是由第三方指派。請前往 cve.org,進一步了解此問題和 CVE-ID。

CVE-2024-39573

CVE-2024-38477

CVE-2024-38476

App Support

適用於:macOS Sequoia

影響:惡意 App 或許可以在未經使用者同意的情況下,執行任何捷徑

說明:改進邏輯機制後,已解決路徑處理問題。

CVE-2024-44255:匿名研究員

AppleMobileFileIntegrity

適用於:macOS Sequoia

影響:經沙箱處理的程序或許可以規避沙箱的限制

說明:改進驗證機制後,已解決邏輯問題。

CVE-2024-44270:Mickey Jin(@patch1t)

AppleMobileFileIntegrity

適用於:macOS Sequoia

影響:App 或許可以修改檔案系統的受保護部分

說明:增加編碼簽名限制機制後,已解決影響配備 Intel 處理器的 Mac 電腦的降級問題。

CVE-2024-44280:Mickey Jin(@patch1t)

Assets

適用於:macOS Sequoia

影響:具有根權限的惡意 App 或許可以修改系統檔案的內容

說明:移除易受攻擊的程式碼後,已解決此問題。

CVE-2024-44260:Mickey Jin(@patch1t)

Contacts

適用於:macOS Sequoia

影響:App 或許可以存取使用者的聯絡人相關資訊

說明:改進記錄項目的私人資料修訂機制後,已解決隱私權問題。

CVE-2024-44298:Kirin(@Pwnrin)和 7feilee

CoreMedia Playback

適用於:macOS Sequoia

影響:惡意 App 或許可以存取私密資訊

說明:改進符號連結的處理機制後,已解決此問題。

CVE-2024-44273:pattern-f(@pattern_F_)、Loadshine Lab 的 Hikerell

CoreServicesUIAgent

適用於:macOS Sequoia

影響:App 或許可以修改檔案系統的受保護部分

說明:增加授權檢查機制後,已解決此問題。

CVE-2024-44295:匿名研究員

CoreText

適用於:macOS Sequoia

影響:處理惡意製作的字體可能導致程序記憶體內容洩漏

說明:改進檢查機制後,已解決此問題。

CVE-2024-44240:Hossein Lotfi(@hosselot)(與 Trend Micro Zero Day Initiative 合作)

CVE-2024-44302:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

CUPS

適用於:macOS Sequoia

影響:具有網路特殊權限的攻擊者可能得以洩漏敏感的使用者資訊

說明:剖析 URL 時出現問題。改進輸入驗證機制後,已解決此問題。

CVE-2024-44213:Alexandre Bedard

Find My

適用於:macOS Sequoia

影響:App 或許可以讀取敏感的位置資訊

說明:改進記錄項目的私人資料修訂機制後,已解決隱私權問題。

CVE-2024-44289:Kirin(@Pwnrin)

Foundation

適用於:macOS Sequoia

影響:剖析檔案可能導致使用者資訊洩漏

說明:改進輸入驗證機制後,已解決超出界限的讀取問題。

CVE-2024-44282:Hossein Lotfi(@hosselot)(與 Trend Micro Zero Day Initiative 合作)

Game Controllers

適用於:macOS Sequoia

影響:實際接觸到裝置的攻擊者,或許可以將「遊戲控制器」事件輸入到已鎖定裝置上執行的 App

說明:限制已鎖定裝置上提供的選項後,已解決此問題。

CVE-2024-44265:Ronny Stiftel

ImageIO

適用於:macOS Sequoia

影響:處理影像可能導致程序記憶體外洩

說明:改進檢查機制後,已解決此問題。

CVE-2024-44215:Junsung Lee(與 Trend Micro Zero Day Initiative 合作)

ImageIO

適用於:macOS Sequoia

影響:處理惡意製作的訊息可能導致阻斷服務

說明:改進界限檢查機制後,已解決此問題。

CVE-2024-44297:Jex Amro

Installer

適用於:macOS Sequoia

影響:App 或許可以存取使用者的敏感資料

說明:新增沙箱限制機制後,已解決存取問題。

CVE-2024-44216:Zhongquan Li(@Guluisacat)

Installer

適用於:macOS Sequoia

影響:惡意應用程式可能得以修改檔案系統的受保護部分

說明:改進檢查機制後,已解決此問題。

CVE-2024-44287:Mickey Jin(@patch1t)

IOGPUFamily

適用於:macOS Sequoia

影響:惡意 App 或許可以導致阻斷服務

說明:改進記憶體處理機制後,已解決此問題。

CVE-2024-44197:Cyberserval 的 Wang Yu

IOSurface

適用於:macOS Sequoia

影響:App 或許可以導致系統意外終止或核心記憶體損毀

說明:改進記憶體管理機制後,已解決使用已釋放記憶體的問題。

CVE-2024-44285:匿名研究員

Kernel

適用於:macOS Sequoia

影響:App 可能得以洩漏敏感的核心狀態

說明:改進記錄項目的私人資料修訂機制後,已解決資訊外洩問題。

CVE-2024-44239:Mateusz Krzywicki(@krzywix)

Login Window

適用於:macOS Sequoia

影響:實際接觸到 Mac 的人可能得以在更新軟體時略過登入視窗

說明:改進狀態管理機制後,已解決此問題。

CVE-2024-44231:Toomas Römer

Login Window

適用於:macOS Sequoia

影響:實際接觸到 Mac 的攻擊者,或許可以從「登入視窗」檢視受保護的內容

說明:改進狀態管理機制後,已解決此問題。

CVE-2024-44223:Jaime Bertran

Maps

適用於:macOS Sequoia

影響:App 或許可以讀取敏感的位置資訊

說明:改進敏感資訊修訂機制後,已解決此問題。

CVE-2024-44222:Kirin(@Pwnrin)

Messages

適用於:macOS Sequoia

影響:App 或許可以打破其沙箱

說明:改進輸入清理機制後,已解決問題。

CVE-2024-44256:Mickey Jin(@patch1t)

Notification Center

適用於:macOS Sequoia

影響:App 或許可以存取敏感的使用者資料

說明:改進記錄項目的私人資料修訂機制後,已解決隱私權問題。

CVE-2024-44292:Kirin(@Pwnrin)

Notification Center

適用於:macOS Sequoia

影響:使用者或許可以檢視敏感的使用者資訊

說明:改進記錄項目的私人資料修訂機制後,已解決隱私權問題。

CVE-2024-44293:Kirin(@Pwnrin)和 7feilee

PackageKit

適用於:macOS Sequoia

影響:惡意應用程式可能得以修改檔案系統的受保護部分

說明:改進檢查機制後,已解決此問題。

CVE-2024-44247:CW Research Inc 的 Un3xploitable

CVE-2024-44267:Bohdan Stasiuk(@Bohdan_Stasiuk)、CW Research Inc 的 Un3xploitable、Pedro Tôrres(@t0rr3sp3dr0)

CVE-2024-44301:Bohdan Stasiuk(@Bohdan_Stasiuk)、CW Research Inc 的 Un3xploitable、Pedro Tôrres(@t0rr3sp3dr0)

CVE-2024-44275:Arsenii Kostromin(0x3c3e)

PackageKit

適用於:macOS Sequoia

影響:App 或許可以規避「隱私權」偏好設定

說明:防止易受攻擊的程式碼利用權限執行後,已解決路徑刪除漏洞。

CVE-2024-44156:Arsenii Kostromin(0x3c3e)

CVE-2024-44159:Mickey Jin(@patch1t)

PackageKit

適用於:macOS Sequoia

影響:App 或許可以修改檔案系統的受保護部分

說明:改進檢查機制後,已解決此問題。

CVE-2024-44253:Mickey Jin(@patch1t)、Kandji 的 Csaba Fitzl(@theevilbit)

PackageKit

適用於:macOS Sequoia

影響:具有根權限的攻擊者,或許可以刪除受保護的系統檔案

說明:防止易受攻擊的程式碼利用權限執行後,已解決路徑刪除漏洞。

CVE-2024-44294:Mickey Jin(@patch1t)

PackageKit

適用於:macOS Sequoia

影響:App 或許可以修改檔案系統的受保護部分

說明:增加限制機制後,已解決權限問題。

CVE-2024-44196:Kandji 的 Csaba Fitzl(@theevilbit)

Photos

適用於:macOS Sequoia

影響:App 或許可以在未經使用者同意的情況下,取用「聯絡人」

說明:增加限制機制後,已解決權限問題。

CVE-2024-40858:Kandji 的 Csaba Fitzl(@theevilbit)

Pro Res

適用於:macOS Sequoia

影響:App 或許可以導致系統意外終止或核心記憶體損毀

說明:改進記憶體處理機制後,已解決此問題。

CVE-2024-44277:匿名研究員和 JD.com, Inc. Dawn Security Lab 的 Yinyi Wu(@_3ndy1)

Quick Look

適用於:macOS Sequoia

影響:App 或許可以讀取任何檔案

說明:改進驗證機制後,已解決邏輯問題。

CVE-2024-44195:匿名研究員

Safari Downloads

適用於:macOS Sequoia

影響:攻擊者可能會濫用信任關係來下載惡意內容

說明:改進狀態管理機制後,已解決此問題。

CVE-2024-44259:Suma Soft Pvt. Ltd(印度浦那)的 Cyber Security 經理 Narendra Bhati

Safari Private Browsing

適用於:macOS Sequoia

影響:私密瀏覽的一些瀏覽記錄可能會外洩

說明:增加驗證機制後,已解決資訊外洩問題。

CVE-2024-44229:Lucas Di Tomase

Sandbox

適用於:macOS Sequoia

影響:App 或許可以存取使用者的敏感資料

說明:改進符號連結的驗證機制後,已解決此問題。

CVE-2024-44211:Gergely Kalman(@gergely_kalman)和 Csaba Fitzl(@theevilbit)

SceneKit

適用於:macOS Sequoia

影響:處理惡意製作的檔案可能導致堆積損毀

說明:改進檢查機制後,已解決此問題。

CVE-2024-44218:Trend Micro Zero Day Initiative 的 Michael DePlante(@izobashi)

Shortcuts

適用於:macOS Sequoia

影響:App 或許可以存取敏感的使用者資料

說明:改進敏感資訊修訂機制後,已解決此問題。

CVE-2024-44254:Kirin(@Pwnrin)

Shortcuts

適用於:macOS Sequoia

影響:惡意 App 或許可以使用捷徑存取受限制的檔案

說明:改進檢查機制後,已解決邏輯問題。

CVE-2024-44269:匿名研究員

sips

適用於:macOS Sequoia

影響:處理惡意製作的檔案可能導致 App 意外終止

說明:改進界限檢查機制後,已解決超出界限的存取問題。

CVE-2024-44236:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

CVE-2024-44237:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

sips

適用於:macOS Sequoia

影響:剖析檔案可能導致使用者資訊洩漏

說明:改進輸入驗證機制後,已解決超出界限的讀取問題。

CVE-2024-44279:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

CVE-2024-44281:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

sips

適用於:macOS Sequoia

影響:剖析惡意製作的檔案可能導致 App 意外終止

說明:改進界限檢查機制後,已解決超出界限的讀取問題。

CVE-2024-44283:Trend Micro Zero Day Initiative 的 Hossein Lotfi(@hosselot)

sips

適用於:macOS Sequoia

影響:剖析惡意製作的檔案可能導致 App 意外終止

說明:改進輸入驗證機制後,已解決超出界限的寫入問題。

CVE-2024-44284:Junsung Lee、dw0r! (與 Trend Micro Zero Day Initiative 合作)

Siri

適用於:macOS Sequoia

影響:App 或許可以存取敏感的使用者資料

說明:改進敏感資訊修訂機制後,已解決此問題。

CVE-2024-44194:Rodolphe Brunetti(@eisw0lf)

Siri

適用於:macOS Sequoia

影響:經過沙箱處理的 App 或許可以存取系統記錄中敏感的使用者資料

說明:改進記錄項目的私人資料修訂機制後,已解決資訊外洩問題。

CVE-2024-44278:Kirin(@Pwnrin)

SystemMigration

適用於:macOS Sequoia

影響:惡意 App 或許可以建立符號連結至磁碟中受保護的區域

說明:改進符號連結的驗證機制後,已解決此問題。

CVE-2024-44264:Mickey Jin(@patch1t)

WebKit

適用於:macOS Sequoia

影響:處理惡意製作的網頁內容可能導致內容安全性規則無法執行

說明:改進檢查機制後,已解決此問題。

WebKit Bugzilla:278765

CVE-2024-44296:Suma Soft Pvt. Ltd(印度浦那)的 Cyber Security 經理 Narendra Bhati

WebKit

適用於:macOS Sequoia

影響:處理惡意製作的網頁內容可能導致程序意外當機

說明:改進輸入驗證機制後,已解決記憶體損毀問題。

WebKit Bugzilla:279780

CVE-2024-44244:匿名研究員、Q1IQ(@q1iqF)和 P1umer(@p1umer)

WindowServer

適用於:macOS Sequoia

影響:App 或許可以存取敏感的使用者資料

說明:改進敏感資訊修訂機制後,已解決此問題。

CVE-2024-44257:Bohdan Stasiuk(@Bohdan_Stasiuk)

特別鳴謝

AirPort

我們要感謝 Bohdan Stasiuk(@Bohdan_Stasiuk)、K寶(@Pwnrin)提供協助。

Calculator

我們要感謝 Kenneth Chew 提供協助。

Calendar

我們要感謝 K寶(@Pwnrin)提供協助。

ImageIO

我們要感謝 CrowdStrike Counter Adversary Operations 的 Amir Bazine 和 Karsten König、匿名研究員提供協助。

Messages

我們要感謝 Collin Potter、匿名研究員提供協助。

NetworkExtension

我們要感謝 DoubleYou 與 Objective-See Foundation 的 Patrick Wardle 提供協助。

Notification Center

我們要感謝 Kirin(@Pwnrin)和 LFYSec 提供協助。

Photos

我們要感謝 James Robertson 提供協助。

Safari Private Browsing

我們要感謝匿名研究員、r00tdaddy 提供協助。

Safari Tabs

我們要感謝 Jaydev Ahire 提供協助。

Security

我們要感謝 Alibaba Group 的 Bing Shi、Wenchao Li 和 Xiaolong Bai 提供協助。

Siri

我們要感謝 Bistrit Dahal 提供協助。

對於非 Apple 製造之產品相關資訊,或是非 Apple 控制或測試之獨立網站,不得解釋 Apple 為其推薦或背書。Apple 對於第三方網站或產品的選擇、效能或使用,概不負責。Apple 對於第三方網站的準確性或可靠性不做任何保證。如需其他資訊,請聯絡廠商

發佈日期: