Informationen zum Sicherheitsinhalt von visionOS  2.1

In diesem Dokument wird der Sicherheitsinhalt von visionOS 2.1 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Kürzliche Veröffentlichungen werden auf der Seite Apple-Sicherheitsupdates aufgeführt.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

Informationen zum Sicherheitsinhalt von visionOS 2.1

App Support

Verfügbar für: Apple Vision Pro

Auswirkung: Eine schadhafte App kann möglicherweise ohne Zustimmung des Benutzers willkürliche Kurzbefehle ausführen.

Beschreibung: Ein Pfadbehandlungsproblem wurde durch eine verbesserte Logik behoben.

CVE-2024-44255: Ein anonymer Forscher

AppleAVD

Verfügbar für: Apple Vision Pro

Auswirkung: Die Analyse einer in böser Absicht erstellten Videodatei kann zum unerwarteten Systemabbruch führen.

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-44232: Ivan Fratric von Google Project Zero

CVE-2024-44233: Ivan Fratric von Google Project Zero

CVE-2024-44234: Ivan Fratric von Google Project Zero

CoreMedia Playback

Verfügbar für: Apple Vision Pro

Auswirkung: Eine in böswilliger Absicht erstellte App kann möglicherweise auf private Daten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Verarbeitung von Symlinks behoben.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell von Loadshine Lab

CoreText

Verfügbar für: Apple Vision Pro

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schrift kann zur Preisgabe des Prozessspeichers führen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44240: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

Foundation

Verfügbar für: Apple Vision Pro

Auswirkung: Die Analyse einer Datei kann zur Preisgabe von Benutzerinformationen führen

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-44282: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

ImageIO

Verfügbar für: Apple Vision Pro

Auswirkung: Die Verarbeitung einer Bilddatei kann zur Offenlegung des Prozessspeichers führen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44215: Junsung Lee in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

ImageIO

Verfügbar für: Apple Vision Pro

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Nachricht kann möglicherweise zu einem Denial-of-Service führen.

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-44297: Jex Amro

IOSurface

Verfügbar für: Apple Vision Pro

Auswirkung: Eine App kann einen unerwarteten Systemabbruch oder einen Fehler beim Kernel-Speicher verursachen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-44285: Ein anonymer Forscher

Kernel

Verfügbar für: Apple Vision Pro

Auswirkung: Eine App kann möglicherweise einen vertraulichen Kernel-Status preisgeben.

Beschreibung: Ein Problem mit der Offenlegung von Informationen wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Lock Screen

Verfügbar für: Apple Vision Pro

Auswirkung: Ein Benutzer kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

VE-2024-44262: Justin Saboo

Managed Configuration

Verfügbar für: Apple Vision Pro

Auswirkung: Die Wiederherstellung einer in böswilliger Absicht erstellten Sicherungsdatei kann zur Änderung geschützter Systemdateien führen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Verarbeitung von Symlinks behoben.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Verfügbar für: Apple Vision Pro

Auswirkung: Die Wiederherstellung einer in böswilliger Absicht erstellten Sicherungsdatei kann zur Änderung geschützter Systemdateien führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Dateiverarbeitung behoben.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Verfügbar für: Apple Vision Pro

Auswirkung: Eine App kann einen unerwarteten Systemabbruch oder einen Fehler beim Kernel-Speicher verursachen.

Beschreibung: Das Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-44277: Ein anonymer Forscher und Yinyi Wu(@_3ndy1) vom Dawn Security Lab bei JD.com, Inc.

Safari Downloads

Verfügbar für: Apple Vision Pro

Auswirkung: Ein Angreifer kann möglicherweise eine Vertrauensbeziehung missbrauchen, um in böser Absicht erstellten Inhalt zu laden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-44259: Narendra Bhati, Manager von Cyber Security bei Suma Soft Pvt. Ltd, Pune (Indien)

Safari Private Browsing

Verfügbar für: Apple Vision Pro

Auswirkungen: Beim privaten Surfen kann ein Teil des Browserverlaufs offengelegt werden

Beschreibung: Ein Datenleck wurde durch eine zusätzliche Validierung behoben.

CVE-2024-44229: Lucas Di Tomase

Shortcuts

Verfügbar für: Apple Vision Pro

Auswirkung: Eine in böser Absicht erstellte App kann möglicherweise Kurzbefehle nutzen, um auf geschützte Dateien zuzugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44269: Ein anonymer Forscher

Siri

Verfügbar für: Apple Vision Pro

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Verfügbar für: Apple Vision Pro

Auswirkung: Eine App in einer Sandbox kann möglicherweise auf vertrauliche Benutzerdaten in Systemprotokollen zugreifen.

Beschreibung: Ein Problem mit der Offenlegung von Informationen wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-44278: Kirin (@Pwnrin)

WebKit

Verfügbar für: Apple Vision Pro

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-44244: ein anonymer Forscher, Q1IQ (@q1iqF) und P1umer (@p1umer)

WebKit

Verfügbar für: Apple Vision Pro

Auswirkung: Die Verarbeitung von in böswilliger Absicht erstellten Webinhalten kann zur Aushebelung der Inhaltssicherheitsrichtlinie führen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44296: Narendra Bhati, Manager von Cyber Security bei Suma Soft Pvt. Ltd, Pune (Indien)

Zusätzliche Danksagung

Calendar

Wir möchten uns bei K宝(@Pwnrin) für die Unterstützung bedanken.

ImageIO

Wir möchten uns bei Amir Bazine und Karsten König von CrowdStrike Counter Adversary Operations sowie bei einem anonymen Forscher für die Unterstützung bedanken.

Messages

Wir möchten uns bei Collin Potter und einem anonymen Forscher für die Unterstützung bedanken.

NetworkExtension

Wir möchten uns bei Patrick Wardle von DoubleYou und der Objective-See Foundation für die Unterstützung bedanken.

Photos

Wir möchten uns bei James Robertson für die Unterstützung bedanken.

Safari Private Browsing

Wir möchten uns bei einem anonymen Forscher sowie r00tdaddy für die Unterstützung bedanken.

Safari Tabs

Wir möchten uns bei Jaydev Ahire für die Unterstützung bedanken.

Security

Wir möchten uns bei Bing Shi, Wenchao Li und Xiaolong Bai von Alibaba Group für die Unterstützung bedanken.