Tietoja visionOS 1.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan visionOS 1.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.

visionOS 1.2

CoreMedia

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27817: pattern-f (@pattern_F_, Ant Security Light-Year Lab)

CoreMedia

Saatavuus: Apple Vision Pro

Vaikutus: tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27831: Amir Bazine ja Karsten König, CrowdStrike Counter Adversary Operations

Disk Images

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27832: nimetön tutkija

Foundation

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27801: CertiK SkyFall Team

ImageIO

Saatavuus: Apple Vision Pro

Vaikutus: haitallisen kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27836: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa

IOSurface

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27828: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte.) Ltd.)

Kernel

Saatavuus: Apple Vision Pro

Vaikutus: ytimen koodia suorittanut hyökkääjä saattoi pystyä ohittamaan ydinmuistin suojaukset.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27840: nimetön tutkija

Kernel

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27815: nimetön tutkija ja Joseph Ravichandran (@0xjprx), MIT CSAIL

libiconv

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27811: Nick Wellnhofer

Messages

Saatavuus: Apple Vision Pro

Vaikutus: haitallisen sähköpostiviestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-27800: Daniel Zajork ja Joshua Zajork

Metal

Saatavuus: Apple Vision Pro

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27802: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Metal

Saatavuus: Apple Vision Pro

Vaikutus: etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Safari

Saatavuus: Apple Vision Pro

Vaikutus: sivuston lupa -valintaikkuna saattoi jäädä näkyviin, kun käyttäjä navigoi pois sivustolta.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27844: Narendra Bhati (Suma Soft Pvt.) Ltd in Pune (Intia), Shaheen Fazim

Transparency

Saatavuus: Apple Vision Pro

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: Ongelma on ratkaistu uudella valtuutuksella.

CVE-2024-27884: Mickey Jin (@patch1t)

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.

CVE-2024-27838: Emilio Cobos, Mozilla

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27808: Benjamin Ehrfeld (CISPA Helmholtz Center for Information Security)

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.

Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.

CVE-2024-27812: Ryan Pickren (ryanpickren.com)

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Ongelma: tämä ongelma on ratkaistu parantamalla melualgoritmia.

CVE-2024-27850: nimetön tutkija

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2024-27833: Manfred Paul (@_manfp) yhteistyössä Trend Micro Zero Day Initiativen kanssa

WebKit

Saatavuus: Apple Vision Pro

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2024-27851: Nan Wang (@eternalsakura13 / 360 Vulnerability Research Institute)

WebKit Canvas

Saatavuus: Apple Vision Pro

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-27830: Joe Rutkowski (@Joe12387), Crawless, ja @abrahamjuliot

WebKit Web Inspector

Saatavuus: Apple Vision Pro

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27820: Jeff Johnson (underpassapp.com)

Kiitokset

ImageIO

Haluamme kiittää avusta nimetöntä tutkijaa.