Om sikkerhedsindholdet i visionOS 1.1

I dette dokument beskrives sikkerhedsindholdet i visionOS 1.1.

Om Apple-sikkerhedsopdateringer

Af hensyn til vores kunders sikkerhed videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apple-sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-ID.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

visionOS 1.1

Accessibility

Fås til: Apple Vision Pro

Effekt: En app kan muligvis efterligne systemnotifikationer og grænseflader

Beskrivelse: Problemet er løst via ekstra rettighedskontroller.

CVE-2024-23262: Guilherme Rambo fra Best Buddy Apps (rambo.codes)

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afsløring af proceshukommelse

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-23257: Junsung Lee, der arbejder med Trend Micros Zero Day Initiative

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afvikling af vilkårlig kode

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret inputvalidering.

CVE-2024-23258: Zhenjiang Zhao fra pangu team, Qianxin samt Amir Bazine og Karsten König fra CrowdStrike Counter Adversary Operations

ImageIO

Fås til: Apple Vision Pro

Effekt: Behandling af et billede kan medføre afvikling af vilkårlig kode

Beskrivelse: Et problem med bufferoverløb er løst via forbedret hukommelseshåndtering.

CVE-2024-23286: Junsung Lee, der arbejder med Trend Micros Zero Day Initiative, Amir Bazine og Karsten König fra CrowdStrike Counter Adversary Operations, Dohyun Lee (@l33d0hyun) samt Lyutoon og Mr.R

Kernel

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: En konkurrencetilstand er løst via yderligere validering.

CVE-2024-23235

Kernel

Fås til: Apple Vision Pro

Effekt: En app kan forårsage uventet systemlukning eller skrivning til kernehukommelsen

Beskrivelse: En sårbarhed i forbindelse med hukommelsesfejl er løst via forbedret låsning.

CVE-2024-23265: Xinru Chi fra Pangu Lab

Kernel

Fås til: Apple Vision Pro

Effekt: En hacker med vilkårlig mulighed for at læse fra og skrive til kernen kan muligvis omgå kernehukommelsesbeskyttelser. Apple er opmærksom på, at dette problem kan være blevet udnyttet.

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2024-23225

Metal

Fås til: Apple Vision Pro

Effekt: En app kan muligvis læse beskyttet hukommelse

Beskrivelse: Et valideringsproblem er løst via forbedret rensning af input.

CVE-2024-23264: Meysam Firouzi @R00tkitsmm, der arbejder med Trend Micros Zero Day Initiative

Persona

Fås til: Apple Vision Pro

Effekt: En ikke-godkendt bruger har muligvis adgang til at bruge en ubeskyttet Persona

Beskrivelse: Et problem med tilladelser er løst med henblik på at sikre, at Personaer altid er beskyttet

CVE-2024-23295: Patrick Reardon

RTKit

Fås til: Apple Vision Pro

Effekt: En hacker med vilkårlig mulighed for at læse fra og skrive til kernen kan muligvis omgå kernehukommelsesbeskyttelser. Apple er opmærksom på, at dette problem kan være blevet udnyttet.

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret validering.

CVE-2024-23296

Safari

Fås til: Apple Vision Pro

Effekt: En app kan muligvis få adgang til at aflæse brugerens fingeraftryk

Beskrivelse: Problemet er løst via forbedret håndtering af buffere.

CVE-2024-23220

UIKit

Fås til: Apple Vision Pro

Effekt: En app kan muligvis frigøre sig fra sin sandbox

Beskrivelse: Problemet er løst ved at fjerne den sårbare kode.

CVE-2024-23246: Deutsche Telekom Security GmbH sponsoreret af Bundesamt für Sicherheit in der Informationstechnik

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-54658: anbu1024 fra SecANT

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2024-23226: Pwn2car

CVE-2024-27859: Pwn2car

WebKit

Fås til: Apple Vision Pro

Effekt: Et skadeligt websted kan føre til cross-origin-eksfiltration af lyddata

Beskrivelse: Problemet er løst via forbedret håndtering af brugergrænsefladen.

CVE-2024-23254: James Lee (@Windowsrcer)

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold med skadelig kode kan forhindre, at sikkerhedspolitikken for indhold bliver håndhævet

Beskrivelse: Et logikproblem er løst via forbedret validering.

CVE-2024-23263: Johan Carlsson (joaxcar)

WebKit

Fås til: Apple Vision Pro

Effekt: Behandling af webindhold med skadelig kode kan forhindre, at sikkerhedspolitikken for indhold bliver håndhævet

Beskrivelse: Et logikproblem er løst via forbedret statusadministration.

CVE-2024-23284: Georg Felber og Marco Squarcina

Yderligere anerkendelser

Kernel

Vi vil gerne takke Tarek Joumaa (@tjkr0wn) og 이준성 (Junsung Lee) for hjælpen.

Messages

Vi vil gerne takke Petar Mataić for hjælpen.

Model I/O

Vi vil gerne takke Junsung Lee for hjælpen.

Power Management

Vi vil gerne takke Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd. for hjælpen.

Safari

Vi vil gerne takke Abhinav Saraswat, Matthew C og 이동하 (Lee Dong Ha fra ZeroPointer Lab) for hjælpen.

WebKit

Vi vil gerne takke Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina og Lorenzo Veronese fra TU Wien for hjælpen.