À propos des correctifs de sécurité de macOS Sequoia 15.1

Ce document décrit les correctifs de sécurité de macOS Sequoia 15.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les versions récentes sont énumérées à la page Versions de sécurité d’Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

À propos des correctifs de sécurité de macOS Sequoia 15.1

Apache

Conséquence : Apache présentait plusieurs problèmes.

Description : il s’agit d’une vulnérabilité dans un code source ouvert et le logiciel Apple figure parmi les projets concernés. L’identifiant CVE-ID a été attribué par un tiers. Apprenez-en davantage sur le problème et la référence CVE sur le site cve.org.

CVE-2024-39573

CVE-2024-38477

CVE-2024-38476

App Support

Disponible pour : macOS Sequoia

Conséquence : une application malveillante peut exécuter des raccourcis arbitraires sans le consentement de l’utilisateur

Description : un problème de gestion des chemins a été résolu par une meilleure logique.

CVE-2024-44255 : un chercheur anonyme

AppleAVD

Disponible pour : macOS Sequoia

Conséquence : l’analyse d’un fichier vidéo malveillant peut entraîner la fermeture inopinée du système

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2024-44232 : Ivan Fratric de Google Project Zero

CVE-2024-44233 : Ivan Fratric de Google Project Zero

CVE-2024-44234 : Ivan Fratric de Google Project Zero

AppleMobileFileIntegrity

Disponible pour : macOS Sequoia

Conséquence : un processus en mode bac à sable peut être en mesure de contourner les restrictions de bac à sable.

Description : un problème de logique a été résolu par une meilleure validation.

CVE-2024-44270 : Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.

Description : un problème de rétrogradation concernant les ordinateurs Mac à processeur Intel a été résolu par des restrictions de signature de code supplémentaires.

CVE-2024-44280 : Mickey Jin (@patch1t)

Assets

Disponible pour : macOS Sequoia

Conséquence : une app malveillante possédant des privilèges racine pourrait être en mesure de modifier le contenu des fichiers système.

Description : ce problème a été résolu par la suppression du code vulnérable.

CVE-2024-44260 : Mickey Jin (@patch1t)

Contacts

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données des contacts de l’utilisateur.

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2024-44298 : Kirin (@Pwnrin) et 7feilee

CoreMedia Playback

Disponible pour : macOS Sequoia

Conséquence : une app malveillante pourrait être en mesure d’accéder à des informations confidentielles

Description : ce problème a été résolu par une meilleure gestion des liens symboliques.

CVE-2024-44273 : pattern-f (@pattern_F_), Hikerell de Loadshine Lab

CoreServicesUIAgent

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.

Description : ce problème a été résolu par des vérifications supplémentaires des autorisations.

CVE-2024-44295 : un chercheur anonyme

CoreText

Disponible pour : macOS Sequoia

Conséquence : le traitement d’une police malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44240 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

CVE-2024-44302 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

CUPS

Disponible pour : macOS Sequoia

Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut divulguer des données utilisateur sensibles.

Description : l’analyse des URL présentait un problème. Ce problème a été résolu par une meilleure validation des entrées.

CVE-2024-44213 : Alexandre Bedard

Find My

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2024-44289 : Kirin (@Pwnrin)

Foundation

Disponible pour : macOS Sequoia

Conséquence : l’analyse d’un fichier peut entraîner la divulgation des informations utilisateur.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2024-44282 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

Game Controllers

Disponible pour : macOS Sequoia

Conséquence : un attaquant bénéficiant d’un accès physique peut introduire des évènements de manette de jeu dans des apps qui fonctionnent sur un appareil verrouillé.

Description : le problème a été résolu en limitant les options proposées sur un appareil verrouillé.

CVE-2024-44265 : Ronny Stiftel

ImageIO

Disponible pour : macOS Sequoia

Conséquence : le traitement d’une image peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44215 : Junsung Lee travaillant avec Trend Micro Zero Day Initiative

ImageIO

Disponible pour : macOS Sequoia

Conséquence : le traitement d’un message malveillant peut entraîner un déni de service.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2024-44297 : Jex Amro

Installer

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème d’accès a été résolu par des restrictions supplémentaires de bac à sable.

CVE-2024-44216 : Zhongquan Li (@Guluisacat)

Installer

Disponible pour : macOS Sequoia

Conséquence : une app malveillante peut être en mesure de modifier des sections protégées du système de fichiers.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44287 : Mickey Jin (@patch1t)

IOGPUFamily

Disponible pour : macOS Sequoia

Conséquence : une app malveillante peut être à l’origine d’un déni de service.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2024-44197 : Wang Yu de Cyberserval

IOSurface

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2024-44285 : un chercheur anonyme

Kernel

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de divulguer des données sensibles relativement à l’état du noyau.

Description : un problème de divulgation d’informations a été résolu grâce à l’amélioration de la rédaction des données privées pour les entrées de journal.

CVE-2024-44239 : Mateusz Krzywicki (@krzywix)

Login Window

Disponible pour : macOS Sequoia

Conséquence : une personne ayant un accès physique à un Mac peut être en mesure de contourner la fenêtre d’ouverture de session pendant une mise à jour logicielle.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2024-44231 : Toomas Römer

Login Window

Disponible pour : macOS Sequoia

Conséquence : un attaquant disposant d’un accès physique à un Mac peut être en mesure d’afficher du contenu protégé à partir de la fenêtre de connexion.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2024-44223 : Jaime Bertran

Maps

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2024-44222 : Kirin (@Pwnrin)

Messages

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de sortir de son bac à sable.

Description : le problème a été résolu par un meilleur nettoyage des entrées.

CVE-2024-44256 : Mickey Jin (@patch1t)

Notification Center

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2024-44292 : Kirin (@Pwnrin)

Notification Center

Disponible pour : macOS Sequoia

Conséquence : un utilisateur peut être en mesure de divulguer des données utilisateur confidentielles.

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2024-44293 : Kirin (@Pwnrin) et 7feilee

PackageKit

Disponible pour : macOS Sequoia

Conséquence : une app malveillante peut être en mesure de modifier des sections protégées du système de fichiers.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44247 : Un3xploitable de CW Research Inc

CVE-2024-44267 : Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable de CW Research Inc, Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44301 : Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable de CW Research Inc, Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44275 : Arsenii Kostromin (0x3c3e)

PackageKit

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de contourner les préférences en matière de confidentialité.

Description : une vulnérabilité liée à la suppression des chemins a été résolue en empêchant le code vulnérable de s’exécuter avec des privilèges.

CVE-2024-44156 : Arsenii Kostromin (0x3c3e)

CVE-2024-44159 : Mickey Jin (@patch1t)

PackageKit

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.

Description : ce problème a été résolu par de meilleures vérifications.

CVE-2024-44253 : Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) de Kandji

PackageKit

Disponible pour : macOS Sequoia

Conséquence : un attaquant possédant des privilèges racines pourrait être en mesure de supprimer des fichiers système protégés.

Description : une vulnérabilité liée à la suppression des chemins a été résolue en empêchant le code vulnérable de s’exécuter avec des privilèges.

CVE-2024-44294 : Mickey Jin (@patch1t)

PackageKit

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2024-44196 : Csaba Fitzl (@theevilbit) de Kandji

Photos

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder à Contacts sans le consentement de l’utilisateur.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2024-40858 : Csaba Fitzl (@theevilbit) de Kandji

Pro Res

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’entraîner l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2024-44277 : un chercheur anonyme et Yinyi Wu(@_3ndy1) du Dawn Security Lab de JD.com, Inc.

Quick Look

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure de lire des fichiers arbitraires.

Description : un problème de logique a été résolu par une meilleure validation.

CVE-2024-44195 : un chercheur anonyme

Safari Downloads

Disponible pour : macOS Sequoia

Conséquence : un attaquant peut être en mesure de profiter d’une relation de confiance pour télécharger du contenu malveillant.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2024-44259 : Narendra Bhati, directeur de la cybersécurité chez Suma Soft Pvt. Ltd, Pune (Inde)

Safari Private Browsing

Disponible pour : macOS Sequoia

Conséquence : la navigation privée peut entraîner des fuites de l’historique de navigation.

Description : une fuite d’informations a été résolue par une validation supplémentaire.

CVE-2024-44229 : Lucas Di Tomase

Sandbox

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2024-44211 : Gergely Kalman (@gergely_kalman) et Csaba Fitzl (@theevilbit)

SceneKit

Disponible pour : macOS Sequoia

Conséquence : le traitement d’un fichier malveillant peut entraîner une corruption de tas.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44218 : Michael DePlante (@izobashi) de Trend Micro Zero Day Initiative

Shortcuts

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2024-44254 : Kirin (@Pwnrin)

Shortcuts

Disponible pour : macOS Sequoia

Conséquence : une application malveillante peut utiliser des raccourcis pour accéder à des fichiers restreints

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2024-44269 : un chercheur anonyme

sips

Disponible pour : macOS Sequoia

Conséquence : le traitement d’un fichier malveillant peut entraîner la fermeture inopinée d’une app.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2024-44236 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

CVE-2024-44237 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

sips

Disponible pour : macOS Sequoia

Conséquence : l’analyse d’un fichier peut entraîner la divulgation des informations utilisateur.

Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.

CVE-2024-44279 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

CVE-2024-44281 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

sips

Disponible pour : macOS Sequoia

Conséquence : l’analyse d’un fichier malveillant peut entraîner la fermeture inopinée d’une app.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

CVE-2024-44283 : Hossein Lotfi (@hosselot) de Trend Micro Zero Day Initiative

sips

Disponible pour : macOS Sequoia

Conséquence : l’analyse d’un fichier malveillant peut entraîner la fermeture inopinée d’une app.

Description : un problème d’écriture hors limites a été résolu par une meilleure validation des entrées.

CVE-2024-44284 : Junsung Lee, dw0r! collaboration avec Trend Micro Zero Day Initiative

Siri

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2024-44194 : Rodolphe Brunetti (@eisw0lf)

Siri

Disponible pour : macOS Sequoia

Conséquence : une app de bac à sable pourrait avoir accès aux données sensibles des utilisateurs dans les journaux du système.

Description : un problème de divulgation d’informations a été résolu grâce à l’amélioration de la rédaction des données privées pour les entrées de journal.

CVE-2024-44278 : Kirin (@Pwnrin)

SystemMigration

Disponible pour : macOS Sequoia

Conséquence : une app malveillante peut être en mesure de créer des liens symboliques vers des zones protégées du disque.

Description : ce problème a été résolu par une meilleure validation des liens symboliques.

CVE-2024-44264 : Mickey Jin (@patch1t)

WebKit

Disponible pour : macOS Sequoia

Conséquence : le traitement de contenus web malveillants est susceptible d’empêcher l’application de la politique de sécurité du contenu.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2024-44296 : Narendra Bhati, directeur de la cybersécurité chez Suma Soft Pvt. Ltd, Pune (Inde)

WebKit

Disponible pour : macOS Sequoia

Conséquence : le traitement d’un contenu Web malveillant peut conduire à un blocage inopiné du processus.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2024-44244 : un chercheur anonyme, Q1IQ (@q1iqF) et P1umer (@p1umer)

WindowServer

Disponible pour : macOS Sequoia

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2024-44257 : Bohdan Stasiuk (@Bohdan_Stasiuk)

Remerciements supplémentaires

Airport

Nous tenons à remercier Bohdan Stasiuk (@Bohdan_Stasiuk) et K宝(@Pwnrin) pour leur aide.

Calculator

Nous tenons à remercier Kenneth Chew pour son aide.

Calendar

Nous tenons à remercier K宝(@Pwnrin) pour son aide.

ImageIO

Nous tenons à remercier Amir Bazine et Karsten König de CrowdStrike Counter Adversary Operations et un chercheur anonyme pour leur aide.

Messages

Nous tenons à remercier Collin Potter ainsi qu’un chercheur anonyme pour leur aide.

NetworkExtension

Nous tenons à remercier Patrick Wardle de DoubleYou et de l’Objective-See Foundation pour son aide.

Notification Center

Nous tenons à remercier Kirin (@Pwnrin) et LFYSec pour leur aide.

Photos

Nous tenons à remercier James Robertson pour son aide.

Safari Private Browsing

Nous tenons à remercier un chercheur anonyme et r00tdaddy pour leur aide.

Safari Tabs

Nous tenons à remercier Jaydev Ahire pour son aide.

Security

Nous tenons à remercier Bing Shi, Wenchao Li et Xiaolong Bai du groupe Alibaba pour leur aide.

Siri

Nous tenons à remercier Bistrit Dahal pour son aide.