Tietoja macOS Sequoia 15.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan macOS Sequoia 15.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuussivulta.

Tietoja macOS Sequoia 15.1:n turvallisuussisällöstä

Apache

Vaikutus: Apachessa esiintyi useita ongelmia.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä osoitteesta cve.org.

CVE-2024-39573

CVE-2024-38477

CVE-2024-38476

App Support

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä suorittamaan mielivaltaisia oikoteitä ilman käyttäjän suostumusta.

Kuvaus: polun käsittelyongelma ratkaistiin parantamalla logiikkaa.

CVE-2024-44255: nimetön tutkija

AppleAVD

Saatavuus: macOS Sequoia

Vaikutus: haitallisen videotiedoston jäsentäminen saattoi aiheuttaa järjestelmän odottamattoman sulkeutumisen

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

AppleMobileFileIntegrity

Saatavuus: macOS Sequoia

Vaikutus: eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2024-44270: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Intel-pohjaisiin Mac-tietokoneisiin vaikuttanut aiempaan versioon päivittämiseen liittynyt ongelma on ratkaistu lisäämällä koodin allekirjoitusrajoituksia.

CVE-2024-44280: Mickey Jin (@patch1t)

Assets

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi, jolla on pääkäyttöoikeudet, saattoi pystyä muokkaamaan järjestelmätiedostojen sisältöä.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-44260: Mickey Jin (@patch1t)

Contacts

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään tietoja käyttäjän yhteystiedoista.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44298: Kirin (@Pwnrin) ja 7feilee

CoreMedia Playback

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien käsittelyä.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell (Loadshine Lab)

CoreServicesUIAgent

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: ongelma on ratkaistu lisäämällä oikeustarkistuksia.

CVE-2024-44295: nimetön tutkija

CoreText

Saatavuus: macOS Sequoia

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44240: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

CVE-2024-44302: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

CUPS

Saatavuus: macOS Sequoia

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä vuotamaan arkaluontoisia käyttäjätietoja.

Kuvaus: URL-osoitteiden jäsentämisessä oli ongelma. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistusta.

CVE-2024-44213: Alexandre Bedard

Find My

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44289: Kirin (@Pwnrin)

Foundation

Saatavuus: macOS Sequoia

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-44282: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

Game Controllers

Saatavuus: macOS Sequoia

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy, pystyi syöttämään peliohjaintapahtumia lukitussa laitteessa käynnissä oleviin appeihin.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2024-44265: Ronny Stiftel

ImageIO

Saatavuus: macOS Sequoia

Vaikutus: kuvan käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-44215: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa

ImageIO

Saatavuus: macOS Sequoia

Vaikutus: haitallisen sähköpostiviestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2024-44297: Jex Amro

Installer

Saatavuus: macOS Sequoia

Vaikutus: Appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: Käyttöoikeusongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2024-44216: Zhongquan Li (@Guluisacat)

Installer

Saatavuus: macOS Sequoia

Vaikutus: haittaohjelma saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44287: Mickey Jin (@patch1t)

IOGPUFamily

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44197: Wang Yu (Cyberserval)

IOSurface

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2024-44285: nimetön tutkija

Kernel

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: tietojen paljastumisen ongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Login Window

Saatavuus: macOS Sequoia

Vaikutus: Henkilö, jolla oli fyysinen pääsy Maciin, saattoi pystyä ohittamaan kirjautumisikkunan ohjelmistopäivityksen aikana.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-44231: Toomas Römer

Login Window

Saatavuus: macOS Sequoia

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy Maciin, saattoi pystyä katsomaan suojattua sisältöä kirjautumisikkunasta.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-44223: Jaime Bertran

Maps

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja..

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44222: Kirin (@Pwnrin)

Messages

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: ongelma on ratkaistu parantamalla annettujen tietojen puhdistamista.

CVE-2024-44256: Mickey Jin (@patch1t)

Notification Center

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44292: Kirin (@Pwnrin)

Notification Center

Saatavuus: macOS Sequoia

Vaikutus: käyttäjä saattoi pystyä tarkastelemaan arkaluontoisia käyttäjätietoja

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44293: Kirin (@Pwnrin) ja 7feilee

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: haittaohjelma saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44247: Un3xploitable (CW Research Inc)

CVE-2024-44267: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc) ja Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44301: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc) ja Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44275: Arsenii Kostromin (0x3c3e)

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä ohittamaan tietosuoja-asetukset.

Kuvaus: polun poistoon liittyvä haavoittuvuus on ratkaistu estämällä haavoittuvuuden aiheuttaneen koodin suorittaminen käyttöoikeuksilla.

CVE-2024-44156: Arsenii Kostromin (0x3c3e)

CVE-2024-44159: Mickey Jin (@patch1t)

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44253: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit, Kandji)

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: hyökkääjä, jolla oli pääkäyttöoikeudet, saattoi pystyä poistamaan suojattuja järjestelmätiedostoja.

Kuvaus: polun poistoon liittyvä haavoittuvuus on ratkaistu estämällä haavoittuvuuden aiheuttaneen koodin suorittaminen käyttöoikeuksilla.

CVE-2024-44294: Mickey Jin (@patch1t)

PackageKit

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-44196: Csaba Fitzl (@theevilbit, Kandji)

Photos

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään yhteystietoja ilman käyttäjän suostumusta.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2024-40858: Csaba Fitzl (@theevilbit, Kandji)

Pro Res

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44277: nimetön tutkija ja Yinyi Wu (@_3ndy1, Dawn Security Lab of JD.com, Inc.)

Quick Look

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä lukemaan mielivaltaisia tiedostoja.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2024-44195: nimetön tutkija

Safari Downloads

Saatavuus: macOS Sequoia

Vaikutus: Hyökkääjä saattoi pystyä käyttämään väärin luottamussuhdetta haitallisen sisällön lataamista varten.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-44259: Narendra Bhati (kyberturvallisuusjohtaja, Suma Soft Pvt. Ltd, Pune, Intia)

Safari Private Browsing

Saatavuus: macOS Sequoia

Vaikutus: yksityinen selaus saattaa vuotaa jonkin verran selaushistoriaa.

Kuvaus: tietovuoto-ongelma on ratkaistu lisätarkistuksilla.

CVE-2024-44229: Lucas Di Tomase

Sandbox

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2024-44211: Gergely Kalman (@gergely_kalman) ja Csaba Fitzl (@theevilbit)

SceneKit

Saatavuus: macOS Sequoia

Vaikutus: Haitallisen tiedoston käsitteleminen saattoi johtaa keon vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-44218: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Shortcuts

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi päästä rajoitettuihin tiedostoihin oikoteiden avulla.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-44269: nimetön tutkija

sips

Saatavuus: macOS Sequoia

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-44236: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

CVE-2024-44237: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

sips

Saatavuus: macOS Sequoia

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-44279: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

CVE-2024-44281: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

sips

Saatavuus: macOS Sequoia

Vaikutus: haitallisen tiedoston jäsentäminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-44283: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

sips

Saatavuus: macOS Sequoia

Vaikutus: haitallisen tiedoston jäsentäminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-44284: Junsung Lee, dw0r! mipu94 (SEFCOM Lab, ASU)

Siri

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Saatavuus: macOS Sequoia

Vaikutus: eristetty appi saattaa kyetä käyttämään arkaluontoisia käyttäjätietoja järjestelmälokeissa.

Kuvaus: tietojen paljastumisen ongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44278: Kirin (@Pwnrin)

SystemMigration

Saatavuus: macOS Sequoia

Vaikutus: haitallinen appi saattoi pystyä luomaan symbolisia linkkejä levyn suojattuihin osiin.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2024-44264: Mickey Jin (@patch1t)

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44296: Narendra Bhati (kyberturvallisuusjohtaja, Suma Soft Pvt. Ltd, Pune, Intia)

WebKit

Saatavuus: macOS Sequoia

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-44244: nimetön tutkija, Q1IQ (@q1iqF) ja P1umer (@p1umer)

WindowServer

Saatavuus: macOS Sequoia

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44257: Bohdan Stasiuk (@Bohdan_Stasiuk)

Kiitokset

Airport

Haluamme kiittää avusta Bohdan Stasiukia (@Bohdan_Stasiuk) ja käyttäjää K宝(@Pwnrin).

Calculator

Haluamme kiittää Kenneth Chewiä hänen antamastaan avusta.

Calendar

Haluamme kiittää nimimerkkiä K宝 (@Pwnrin) hänen antamastaan avusta.

ImageIO

Haluamme kiittää Amir Bazinea ja Karsten Königiä (CrowdStrike Counter Adversary Operations) ja nimetöntä tutkijaa heidän antamastaan avusta.

Messages

Haluamme kiittää Collin Potteria ja nimetöntä tutkijaa heidän antamastaan avusta.

NetworkExtension

Haluamme kiittää Patrick Wardle (DoubleYou & the Objective-See Foundation) hänen antamastaan avusta.

Notification Center

Haluamme kiittää Kirinia (@Pwnrin) ja LFYSeciä heidän antamastaan avusta.

Photos

Haluamme kiittää avusta James Robertsonia.

Safari Private Browsing

Haluamme kiittää avusta nimetöntä tutkijaa ja nimimerkkiä r00tdaddy.

Safari Tabs

Haluamme kiittää avusta Jaydev Ahirea.

Security

Haluamme kiittää Bing Shiä, Wenchao Liä ja Xiaolong Baita (Alibaba Group) heidän antamastaan avusta.

Siri

Haluamme kiittää avusta Bistrit Dahalia.