Om sikkerhedsindholdet i visionOS 1.1

I dette dokument beskrives sikkerhedsindholdet i visionOS 1.1.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apples sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

visionOS 1.1

Accessibility

Fås til: Apple Vision Pro

Effekt: En app kan muligvis efterligne systemnotifikationer og grænseflader

Beskrivelse: Problemet er løst ved ekstra rettighedskontroller.

CVE-2024-23262: Guilherme Rambo fra Best Buddy Apps (rambo.codes)

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afsløring af proceshukommelse

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-23257: Junsung Lee, der arbejder med Trend Micros Zero Day Initiative

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afvikling af vilkårlig kode

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2024-23258: Zhenjiang Zhao fra pangu team, Qianxin samt Amir Bazine og Karsten König fra CrowdStrike Counter Adversary Operations

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afvikling af vilkårlig kode

Beskrivelse: Et problem med bufferoverløb blev løst ved forbedret hukommelsesbehandling.

CVE-2024-23286: Junsung Lee, der arbejder med Trend Micros Zero Day Initiative, Amir Bazine og Karsten König fra CrowdStrike Counter Adversary Operations, Dohyun Lee (@l33d0hyun) samt Lyutoon og Mr.R

Kernel

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2024-23235

Kernel

Fås til: Apple Vision Pro

Effekt: En app kan forårsage uventet systemlukning eller skrivning til kernehukommelsen

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er løst via forbedret låsning.

CVE-2024-23265: Xinru Chi fra Pangu Lab

Kernel

Fås til: Apple Vision Pro

Effekt: En hacker med mulighed for at læse fra og skrive til kernen kan muligvis omgå kernehukommelsesbeskyttelse. Apple er opmærksom på, at dette problem kan være blevet udnyttet.

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2024-23225

Metal

Fås til: Apple Vision Pro

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst ved hjælp af forbedret rensning af input.

CVE-2024-23264: Meysam Firouzi @R00tkitsmm, der arbejder med Trend Micros Zero Day Initiative

Persona

Fås til: Apple Vision Pro

Effekt: En ikke-godkendt bruger har muligvis adgang til at bruge en ubeskyttet Persona

Beskrivelse: Et problem med tilladelser blev løst ved at hjælpe med at sikre, at Personaer altid er beskyttet

CVE-2024-23295: Patrick Reardon

RTKit

Fås til: Apple Vision Pro

Effekt: En hacker med mulighed for at læse fra og skrive til kernen kan muligvis omgå kernehukommelsesbeskyttelse. Apple er opmærksom på, at dette problem kan være blevet udnyttet.

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2024-23296

Safari

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til at aflæse brugerens fingeraftryk

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2024-23220

UIKit

Fås til: Apple Vision Pro

Effekt: En app kan muligvis frigøre sig fra sin sandbox

Beskrivelse: Problemet blev løst ved at fjerne den sårbare kode.

CVE-2024-23246: Deutsche Telekom Security GmbH sponsoreret af Bundesamt für Sicherheit in der Informationstechnik

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-23226: Pwn2car

WebKit

Fås til: Apple Vision Pro

Effekt: Et skadeligt websted kan føre til cross-origin-eksfiltration af lyddata

Beskrivelse: Problemet er løst ved forbedret håndtering af brugergrænsefladen.

CVE-2024-23254: James Lee (@Windowsrcer)

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold med skadelig kode kan forhindre, at sikkerhedspolitikken for indhold bliver håndhævet

Beskrivelse: Et logikproblem er løst via forbedret godkendelse.

CVE-2024-23263: Johan Carlsson (joaxcar)

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold med skadelig kode kan forhindre, at sikkerhedspolitikken for indhold bliver håndhævet

Beskrivelse: Et logikproblem er løst gennem forbedret statusadministration.

CVE-2024-23284: Georg Felber og Marco Squarcina

Yderligere anerkendelser

Kernel

Vi vil gerne takke Tarek Joumaa (@tjkr0wn) og 이준성 (Junsung Lee) for hjælpen.

Model I/O

Vi vil gerne takke Junsung Lee for hjælpen.

Power Management

Vi vil gerne takke Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd. for hjælpen.

Safari

Vi vil gerne takke Abhinav Saraswat, Matthew C og 이동하 ( Lee Dong Ha fra ZeroPointer Lab ) for hjælpen.

WebKit

Vi vil gerne takke Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina og Lorenzo Veronese fra TU Wien for hjælpen.