關於 macOS Sequoia 15.1 的安全性內容
本文說明 macOS Sequoia 15.1 的安全性內容。
關於 Apple 安全性更新
為保障客戶的安全，Apple 在進行調查並提供修補程式或版本之前，不會揭露、討論或確認安全性問題。最新版本列於「Apple 安全性發佈」頁面上。
Apple 安全性文件會盡可能以 CVE-ID 參照安全漏洞。
如需安全性的詳細資訊，請參閱「Apple 產品安全性」頁面。
macOS Sequoia 15.1
2024 年 10 月 28 日發行
Apache
影響：Apache 出現多個問題
說明：這是開放原始碼的漏洞，而 Apple 軟體是受影響的計畫案之一。CVE-ID 是由第三方指派。請前往 cve.org，進一步了解此問題和 CVE-ID。
CVE-2024-39573
CVE-2024-38477
CVE-2024-38476
App Support
適用於：macOS Sequoia
影響：惡意 App 或許可以在未經使用者同意的情況下，執行任何捷徑
說明：改進邏輯機制後，已解決路徑處理問題。
CVE-2024-44255：匿名研究員
AppleAVD
適用於：macOS Sequoia
影響：剖析惡意製作的影片檔案可能導致系統意外終止
說明：改進界限檢查機制後，已解決此問題。
CVE-2024-44232：Google Project Zero 的 Ivan Fratric
CVE-2024-44233：Google Project Zero 的 Ivan Fratric
CVE-2024-44234：Google Project Zero 的 Ivan Fratric
2024 年 11 月 1 日新增項目
AppleMobileFileIntegrity
適用於：macOS Sequoia
影響：經沙箱處理的程序或許可以規避沙箱的限制
說明：改進驗證機制後，已解決邏輯問題。
CVE-2024-44270：Mickey Jin（@patch1t）
AppleMobileFileIntegrity
適用於：macOS Sequoia
影響：App 或許可以修改檔案系統的受保護部分
說明：增加編碼簽名限制機制後，已解決影響配備 Intel 處理器的 Mac 電腦的降級問題。
CVE-2024-44280：Mickey Jin（@patch1t）
Assets
適用於：macOS Sequoia
影響：具有根權限的惡意 App 或許可以修改系統檔案的內容
說明：移除易受攻擊的程式碼後，已解決此問題。
CVE-2024-44260：Mickey Jin（@patch1t）
Contacts
適用於：macOS Sequoia
影響：App 或許可以存取使用者的聯絡人相關資訊
說明：改進記錄項目的私人資料修訂機制後，已解決隱私權問題。
CVE-2024-44298：Kirin（@Pwnrin）和 7feilee
CoreMedia Playback
適用於：macOS Sequoia
影響：惡意 App 或許可以存取私密資訊
說明：改進符號連結的處理機制後，已解決此問題。
CVE-2024-44273：pattern-f（@pattern_F_）、Loadshine Lab 的 Hikerell
CoreServicesUIAgent
適用於：macOS Sequoia
影響：App 或許可以修改檔案系統的受保護部分
說明：增加授權檢查機制後，已解決此問題。
CVE-2024-44295：匿名研究員
CoreText
適用於：macOS Sequoia
影響：處理惡意製作的字體可能導致程序記憶體內容洩漏
說明：改進檢查機制後，已解決此問題。
CVE-2024-44240：Hossein Lotfi（@hosselot）（與 Trend Micro Zero Day Initiative 合作）
CVE-2024-44302：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
CUPS
適用於：macOS Sequoia
影響：具有網路特殊權限的攻擊者可能得以洩漏敏感的使用者資訊
說明：剖析 URL 時出現問題。改進輸入驗證機制後，已解決此問題。
CVE-2024-44213：Alexandre Bedard
Find My
適用於：macOS Sequoia
影響：App 或許可以讀取敏感的位置資訊
說明：改進記錄項目的私人資料修訂機制後，已解決隱私權問題。
CVE-2024-44289：Kirin（@Pwnrin）
Foundation
適用於：macOS Sequoia
影響：剖析檔案可能導致使用者資訊洩漏
說明：改進輸入驗證機制後，已解決超出界限的讀取問題。
CVE-2024-44282：Hossein Lotfi（@hosselot）（與 Trend Micro Zero Day Initiative 合作）
Game Controllers
適用於：macOS Sequoia
影響：實際接觸到裝置的攻擊者，或許可以將「遊戲控制器」事件輸入到已鎖定裝置上執行的 App
說明：限制已鎖定裝置上提供的選項後，已解決此問題。
CVE-2024-44265：Ronny Stiftel
ImageIO
適用於：macOS Sequoia
影響：處理影像可能導致程序記憶體外洩
說明：改進檢查機制後，已解決此問題。
CVE-2024-44215：Junsung Lee（與 Trend Micro Zero Day Initiative 合作）
ImageIO
適用於：macOS Sequoia
影響：處理惡意製作的訊息可能導致阻斷服務
說明：改進界限檢查機制後，已解決此問題。
CVE-2024-44297：Jex Amro
Installer
適用於：macOS Sequoia
影響：App 或許可以存取使用者的敏感資料
說明：新增沙箱限制機制後，已解決存取問題。
CVE-2024-44216：Zhongquan Li（@Guluisacat）
Installer
適用於：macOS Sequoia
影響：惡意應用程式可能得以修改檔案系統的受保護部分
說明：改進檢查機制後，已解決此問題。
CVE-2024-44287：Mickey Jin（@patch1t）
IOGPUFamily
適用於：macOS Sequoia
影響：惡意 App 或許可以導致阻斷服務
說明：改進記憶體處理機制後，已解決此問題。
CVE-2024-44197：Cyberserval 的 Wang Yu
IOMobileFrameBuffer
適用於：macOS Sequoia
影響：攻擊者可能導致系統意外終止或在 DCP 韌體中執行任何程式碼
說明：改進界限檢查機制後，已解決此問題。
CVE-2024-44299：Baidu Security 的 Ye Zhang（@VAR10CK）
CVE-2024-44241：Baidu Security 的 Ye Zhang（@VAR10CK）
CVE-2024-44242：Baidu Security 的 Ye Zhang（@VAR10CK）
2024 年 12 月 11 日新增項目
IOSurface
適用於：macOS Sequoia
影響：App 或許可以導致系統意外終止或核心記憶體損毀
說明：改進記憶體管理機制後，已解決使用已釋放記憶體的問題。
CVE-2024-44285：匿名研究員
Kernel
適用於：macOS Sequoia
影響：App 可能得以洩漏敏感的核心狀態
說明：改進記錄項目的私人資料修訂機制後，已解決資訊外洩問題。
CVE-2024-44239：Mateusz Krzywicki（@krzywix）
LaunchServices
適用於：macOS Sequoia
影響：App 或許可以打破其沙箱
說明：增加驗證機制後，已解決競爭條件問題。
CVE-2024-40849：Arsenii Kostromin（0x3c3e）
2024 年 12 月 11 日新增項目
libarchive
適用於：macOS Sequoia
影響：處理惡意製作的檔案可能導致阻斷服務
說明：改進記憶體處理機制後，已解決此問題。
CVE-2024-44201：Ben Roeder
2024 年 12 月 11 日新增項目
Login Window
適用於：macOS Sequoia
影響：實際接觸到 Mac 的人可能得以在更新軟體時略過登入視窗
說明：改進狀態管理機制後，已解決此問題。
CVE-2024-44231：Toomas Römer
Login Window
適用於：macOS Sequoia
影響：實際接觸到 Mac 的攻擊者，或許可以從「登入視窗」檢視受保護的內容
說明：改進狀態管理機制後，已解決此問題。
CVE-2024-44223：Jaime Bertran
Maps
適用於：macOS Sequoia
影響：App 或許可以讀取敏感的位置資訊
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44222：Kirin（@Pwnrin）
Messages
適用於：macOS Sequoia
影響：App 或許可以打破其沙箱
說明：改進輸入清理機制後，已解決問題。
CVE-2024-44256：Mickey Jin（@patch1t）
NetAuth
適用於：macOS Sequoia
影響：惡意應用程式可能洩漏使用者的憑證
說明：增加授權檢查機制後，已解決此問題。
CVE-2024-54471：Noah Gregory（wts.dev）
2024 年 12 月 11 日新增項目
Notification Center
適用於：macOS Sequoia
影響：App 或許可以存取敏感的使用者資料
說明：改進記錄項目的私人資料修訂機制後，已解決隱私權問題。
CVE-2024-44292：Kirin（@Pwnrin）
Notification Center
適用於：macOS Sequoia
影響：使用者或許可以檢視敏感的使用者資訊
說明：改進記錄項目的私人資料修訂機制後，已解決隱私權問題。
CVE-2024-44293：Kirin（@Pwnrin）和 7feilee
PackageKit
適用於：macOS Sequoia
影響：惡意應用程式可能得以修改檔案系統的受保護部分
說明：改進檢查機制後，已解決此問題。
CVE-2024-44247：CW Research Inc 的 Un3xploitable
CVE-2024-44267：Bohdan Stasiuk（@Bohdan_Stasiuk）、CW Research Inc 的 Un3xploitable、Pedro Tôrres（@t0rr3sp3dr0）
CVE-2024-44301：Bohdan Stasiuk（@Bohdan_Stasiuk）、CW Research Inc 的 Un3xploitable、Pedro Tôrres（@t0rr3sp3dr0）
CVE-2024-44275：Arsenii Kostromin（0x3c3e）
CVE-2024-44303：Pedro Tôrres（@t0rr3sp3dr0）
2024 年 12 月 11 日更新項目
PackageKit
適用於：macOS Sequoia
影響：App 或許可以規避「隱私權」偏好設定
說明：防止易受攻擊的程式碼利用權限執行後，已解決路徑刪除漏洞。
CVE-2024-44156：Arsenii Kostromin（0x3c3e）
CVE-2024-44159：Mickey Jin（@patch1t）
PackageKit
適用於：macOS Sequoia
影響：App 或許可以修改檔案系統的受保護部分
說明：改進檢查機制後，已解決此問題。
CVE-2024-44253：Mickey Jin（@patch1t）、Kandji 的 Csaba Fitzl（@theevilbit）
PackageKit
適用於：macOS Sequoia
影響：具有根權限的攻擊者，或許可以刪除受保護的系統檔案
說明：防止易受攻擊的程式碼利用權限執行後，已解決路徑刪除漏洞。
CVE-2024-44294：Mickey Jin（@patch1t）
PackageKit
適用於：macOS Sequoia
影響：App 或許可以修改檔案系統的受保護部分
說明：增加限制機制後，已解決權限問題。
CVE-2024-44196：Kandji 的 Csaba Fitzl（@theevilbit）
Photos
適用於：macOS Sequoia
影響：App 或許可以在未經使用者同意的情況下，取用「聯絡人」
說明：增加限制機制後，已解決權限問題。
CVE-2024-40858：Kandji 的 Csaba Fitzl（@theevilbit）
Pro Res
適用於：macOS Sequoia
影響：App 或許可以導致系統意外終止或核心記憶體損毀
說明：改進記憶體處理機制後，已解決此問題。
CVE-2024-44277：匿名研究員和 JD.com, Inc. Dawn Security Lab 的 Yinyi Wu（@_3ndy1）
Quick Look
適用於：macOS Sequoia
影響：App 或許可以讀取任何檔案
說明：改進驗證機制後，已解決邏輯問題。
CVE-2024-44195：匿名研究員
Safari Downloads
適用於：macOS Sequoia
影響：攻擊者可能會濫用信任關係來下載惡意內容
說明：改進狀態管理機制後，已解決此問題。
CVE-2024-44259：Suma Soft Pvt. Ltd（印度浦那）的 Cyber Security 經理 Narendra Bhati
Safari Private Browsing
適用於：macOS Sequoia
影響：私密瀏覽的一些瀏覽記錄可能會外洩
說明：增加驗證機制後，已解決資訊外洩問題。
CVE-2024-44229：Lucas Di Tomase
Sandbox
適用於：macOS Sequoia
影響：App 或許可以存取使用者的敏感資料
說明：改進符號連結的驗證機制後，已解決此問題。
CVE-2024-44211：Gergely Kalman（@gergely_kalman）和 Csaba Fitzl（@theevilbit）
Sandbox
適用於：macOS Sequoia
影響：具有 root 權限的惡意應用程式可能可以存取私人資訊
說明：增加限制機制後，已解決權限問題。
CVE-2024-44219：Ryan Dowd（@_rdowd）
2024 年 12 月 11 日新增項目
SceneKit
適用於：macOS Sequoia
影響：處理惡意製作的檔案可能導致堆積損毀
說明：改進檢查機制後，已解決此問題。
CVE-2024-44218：Trend Micro Zero Day Initiative 的 Michael DePlante（@izobashi）
Screen Sharing Server
適用於：macOS Sequoia
影響：具有螢幕共享存取權限的使用者或許可以檢視另一位使用者的螢幕
說明：改進狀態管理機制後，已解決此問題。
CVE-2024-44248：Halle Winkler、Politepix（theoffcuts.org）
2024 年 12 月 11 日新增項目
Shortcuts
適用於：macOS Sequoia
影響：App 或許可以存取敏感的使用者資料
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44254：Kirin（@Pwnrin）
Shortcuts
適用於：macOS Sequoia
影響：惡意 App 或許可以使用捷徑存取受限制的檔案
說明：改進檢查機制後，已解決邏輯問題。
CVE-2024-44269：Kirin（@Pwnrin）和匿名研究員
2024 年 12 月 11 日更新項目
sips
適用於：macOS Sequoia
影響：處理惡意製作的檔案可能導致 App 意外終止
說明：改進界限檢查機制後，已解決超出界限的存取問題。
CVE-2024-44236：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
CVE-2024-44237：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
sips
適用於：macOS Sequoia
影響：剖析檔案可能導致使用者資訊洩漏
說明：改進輸入驗證機制後，已解決超出界限的讀取問題。
CVE-2024-44279：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
CVE-2024-44281：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
sips
適用於：macOS Sequoia
影響：剖析惡意製作的檔案可能導致 App 意外終止
說明：改進界限檢查機制後，已解決超出界限的讀取問題。
CVE-2024-44283：Trend Micro Zero Day Initiative 的 Hossein Lotfi（@hosselot）
sips
適用於：macOS Sequoia
影響：剖析惡意製作的檔案可能導致 App 意外終止
說明：改進輸入驗證機制後，已解決超出界限的寫入問題。
CVE-2024-44284：Junsung Lee、dw0r! （與 Trend Micro Zero Day Initiative 合作）
Siri
適用於：macOS Sequoia
影響：App 或許可以存取敏感的使用者資料
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44194：Rodolphe Brunetti（@eisw0lf）
Siri
適用於：macOS Sequoia
影響：App 或許可以讀取敏感的位置資訊
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44200：Cristian Dinca（icmd.tech）
2024 年 12 月 11 日新增項目
Siri
適用於：macOS Sequoia
影響：經過沙箱處理的 App 或許可以存取系統記錄中敏感的使用者資料
說明：改進記錄項目的私人資料修訂機制後，已解決資訊外洩問題。
CVE-2024-44278：Kirin（@Pwnrin）
SystemMigration
適用於：macOS Sequoia
影響：惡意 App 或許可以建立符號連結至磁碟中受保護的區域
說明：改進符號連結的驗證機制後，已解決此問題。
CVE-2024-44264：Mickey Jin（@patch1t）
Weather
適用於：macOS Sequoia
影響：App 或許可以判斷使用者的目前位置
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44290：Kirin（@Pwnrin）
2024 年 12 月 11 日新增項目
WebKit
適用於：macOS Sequoia
影響：處理惡意製作的網頁內容可能導致內容安全性規則無法執行
說明：改進檢查機制後，已解決此問題。
WebKit Bugzilla：278765
CVE-2024-44296：Suma Soft Pvt. Ltd（印度浦那）的 Cyber Security 經理 Narendra Bhati
WebKit
適用於：macOS Sequoia
影響：屬於某個來源的 Cookie 可能會傳送至另一個來源
說明：改進狀態管理機制後，已解決 Cookie 管理問題。
WebKit Bugzilla：279226
CVE-2024-44212：Wojciech Regula of SecuRing（wojciechregula.blog）
2024 年 12 月 11 日新增項目
WebKit
適用於：macOS Sequoia
影響：處理惡意製作的網頁內容可能導致程序意外當機
說明：改進輸入驗證機制後，已解決記憶體損毀問題。
WebKit Bugzilla：279780
CVE-2024-44244：匿名研究員、Q1IQ（@q1iqF）和 P1umer（@p1umer）
WindowServer
適用於：macOS Sequoia
影響：App 或許可以存取敏感的使用者資料
說明：改進敏感資訊修訂機制後，已解決此問題。
CVE-2024-44257：Bohdan Stasiuk（@Bohdan_Stasiuk）
特別鳴謝
AirPort
我們要感謝 Bohdan Stasiuk（@Bohdan_Stasiuk）、K寶（@Pwnrin）提供協助。
Calculator
我們要感謝 Kenneth Chew 提供協助。
Calendar
我們要感謝 K寶（@Pwnrin）提供協助。
ImageIO
我們要感謝 CrowdStrike Counter Adversary Operations 的 Amir Bazine 和 Karsten König、匿名研究員提供協助。
Messages
我們要感謝 Collin Potter、匿名研究員提供協助。
NetworkExtension
我們要感謝 DoubleYou 與 Objective-See Foundation 的 Patrick Wardle 提供協助。
Notification Center
我們要感謝 Kirin（@Pwnrin）和 LFYSec 提供協助。
Photos
我們要感謝 James Robertson 提供協助。
Safari Private Browsing
我們要感謝匿名研究員和 Jacob Compton 提供協助。
2024 年 12 月 11 日更新項目
Safari Tabs
我們要感謝 Jaydev Ahire 提供協助。
Security
我們要感謝 Alibaba Group 的 Bing Shi、Wenchao Li 和 Xiaolong Bai，以及 Indiana University Bloomington 的 Luyi Xing 提供協助。
2024 年 12 月 11 日更新項目
Siri
我們要感謝 Bistrit Dahal 提供協助。
對於非 Apple 製造之產品相關資訊，或是非 Apple 控制或測試之獨立網站，不得解釋 Apple 為其推薦或背書。Apple 對於第三方網站或產品的選擇、效能或使用，概不負責。Apple 對於第三方網站的準確性或可靠性不做任何保證。如需其他資訊，請聯絡廠商。