Tietoja macOS Ventura 13.7:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan macOS Ventura 13.7:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus ‑sivulta.

macOS Ventura 13.7

Accounts

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44129

App Intents

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia tietoja, jotka kirjataan, kun toisen apin käynnistäminen pikakomennolla epäonnistuu.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen sensuroimista.

CVE-2024-44182: Kirin (@Pwnrin)

AppKit

Saatavuus: macOS Ventura

Vaikutus: valtuuttamaton appi saattoi pystyä kirjaamaan toisiin appeihin syötetyt näppäinpainallukset myös suojatussa syöttötilassa.

Kuvaus: logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2024-27886: Stephan Casas, nimetön tutkija

AppleMobileFileIntegrity

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu lisäämällä koodin allekirjoitusrajoituksia.

CVE-2024-40847: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä ohittamaan tietosuoja-asetukset.

Kuvaus: aiempaan versioon päivittämisen ongelma on ratkaistu lisäämällä koodin allekirjoitusrajoituksia.

CVE-2024-40814: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä ohittamaan yksityisyysasetukset

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-44164: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: kirjaston injektointiin liittyvä ongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44168: Claudio Bozzato ja Francesco Benvenuto / Cisco Talos

AppleMobileFileIntegrity

Saatavuus: macOS Ventura

Vaikutus: hyökkääjä saattoi pystyä lukemaan arkaluonteisia tietoja.

Kuvaus: aiempaan versioon päivittämisen ongelma on ratkaistu lisäämällä koodin allekirjoitusrajoituksia.

CVE-2024-40848: Mickey Jin (@patch1t)

Automator

Saatavuus: macOS Ventura

Vaikutus: Automator Quick Action ‑työnkulku saattoi pystyä ohittamaan Gatekeeperin.

Kuvaus: ongelma ratkaistiin lisäämällä ylimääräinen kehote käyttäjäsuostumukselle.

CVE-2024-44128: Anton Boegler

bless

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44151: Mickey Jin (@patch1t)

Compression

Saatavuus: macOS Ventura

Vaikutus: Haitta-arkiston purkaminen saattaa sallia hyökkääjälle satunnaistiedostojen kirjoittamisen.

Kuvaus: kilpailutilanne on ratkaistu parantamalla lukitusta.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Dock

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tietosuojaongelma on ratkaistu poistamalla arkaluontoisia tietoja.

CVE-2024-44177: nimetön tutkija

Game Center

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tiedostojen käyttöön liittyvä ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Saatavuus: macOS Ventura

Vaikutus: kuvan käsittely saattoi aiheuttaa palveluneston.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-44176: dw0r ZeroPointer Labista yhteistyössä Trend Micron Zero Day Initiativen kanssa, nimetön tutkija

Intel Graphics Driver

Saatavuus: macOS Ventura

Vaikutus: haitallisen tekstuurin käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44160: Michael DePlante (@izobashi) / Trend Micron Zero Day Initiative

Intel Graphics Driver

Saatavuus: macOS Ventura

Vaikutus: haitallisen tekstuurin käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-44161: Michael DePlante (@izobashi) / Trend Micron Zero Day Initiative

IOSurfaceAccelerator

Saatavuus: macOS Ventura

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44169: Antonio Zekić

Kernel

Saatavuus: macOS Ventura

Vaikutus: verkkoliikenne saattoi vuotaa VPN-tunnelin ulkopuolelle.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-44165: Andrew Lytvynov

Mail Accounts

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään tietoja käyttäjän yhteystiedoista.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-40791: Rodolphe BRUNETTI (@eisw0lf)

Maps

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.

Kuvaus: ongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2024-44181: Kirin(@Pwnrin) ja LFY(@secsys) Fudan-yliopistosta

mDNSResponder

Saatavuus: macOS Ventura

Vaikutus: sovellus saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: logiikkavirhe on korjattu parantamalla virheiden käsittelyä.

CVE-2024-44183: Olivier Levon

Notes

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä korvaamaan mielivaltaisia tiedostoja.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-44167: ajajfxhj

PackageKit

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2024-44178: Mickey Jin (@patch1t)

Safari

Saatavuus: macOS Ventura

Vaikutus: haitallisella verkkosivustolla käynti saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-40797: Rifa'i Rejal Maynando

Sandbox

Saatavuus: macOS Ventura

Vaikutus: haittaohjelma saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44163: Zhongquan Li (@Guluisacat)

Shortcuts

Saatavuus: macOS Ventura

Vaikutus: oikotie saattoi lähettää arkaluontoisia käyttäjätietoja ilman suostumusta.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen sensuroimista.

CVE-2024-44158: Kirin (@Pwnrin)

Shortcuts

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä tarkkailemaan käyttäjälle Pikakomennot-apin kautta näytettäviä tietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2024-40844: Kirin (@Pwnrin) ja luckyu (@uuulucky) / NorthSea

System Settings

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44166: Kirin (@Pwnrin) ja LFY (@secsys) Fudan-yliopistosta

System Settings

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä lukemaan mielivaltaisia tiedostoja.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2024-44190: Rodolphe BRUNETTI (@eisw0lf)

Transparency

Saatavuus: macOS Ventura

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44184: Bohdan Stasiuk (@Bohdan_Stasiuk)

Kiitokset

Airport

Haluamme kiittää avusta David Dudok de Witiä.