Informacije o sigurnosnom ažuriranju sustava macOS Sequoia 15.1

U ovom se dokumentu opisuje sigurnosni sadržaj sustava macOS Sequoia 15.1.

Informacije o Appleovim sigurnosnim ažuriranjima

Radi zaštite korisnika, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Najnovija izdanja navedena su na stranici Appleova sigurnosna izdanja.

Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID kad god je to moguće.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

macOS Sequoia 15.1

Apache

Učinak: otkriven je veći broj problema u softveru Apache

Opis: radi se o ranjivosti u otvorenom kodu i Appleov softver je među projektima koji su time pogođeni. CVE-ID je dodijelila treća strana. Više o problemu i CVE-ID oznaku pronađite na cve.org.

CVE-2024-39573

CVE-2024-38477

CVE-2024-38476

App Support

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi pokretati proizvoljno odabrane prečace bez pristanka korisnika

Opis: problem s obradom putova riješen je poboljšanom logikom.

CVE-2024-44255: anonimni istraživač

AppleAVD

Dostupno za: macOS Sequoia

Učinak: parsanje zlonamjernih video datoteka može dovesti do neočekivanog zatvaranja sustava

Opis: problem je riješen poboljšanim provjerama ograničenja.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

AppleMobileFileIntegrity

Dostupno za: macOS Sequoia

Učinak: proces u memoriji za testiranje mogao bi zaobići ograničenja memorije za testiranje

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2024-44270: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava

Opis: problem smanjenja verzije koji utječe na Mac računala s Intelovim čipom riješen je dodatnim ograničenjima potpisivanja koda.

CVE-2024-44280: Mickey Jin (@patch1t)

Assets

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija s korijenskim privilegijama možda bi mogla izmjenjivati sadržaj sistemskih datoteka

Opis: problem je riješen uklanjanjem koda sa slabim točkama.

CVE-2024-44260: Mickey Jin (@patch1t)

Contacts

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti informacijama o kontaktima korisnika

Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.

CVE-2024-44298: Kirin (@Pwnrin) i 7feilee

CoreMedia Playback

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi pristupiti privatnim podacima

Opis: problem je riješen poboljšanim rukovanjem simboličkim vezama.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell iz laboratorija Loadshine Lab

CoreServicesUIAgent

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava

Opis: taj je problem riješen poboljšanim provjerama ovlaštenja.

CVE-2024-44295: anonimni istraživač

CoreText

Dostupno za: macOS Sequoia

Učinak: obradom zlonamjernog fonta može se otkriti procesna memorija

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44240: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CVE-2024-44302: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CUPS

Dostupno za: macOS Sequoia

Učinak: napadač s administratorskim mrežnim ovlastima mogao bi otkriti povjerljive korisničke podatke

Opis: problem je postojao u raščlanjivanju URL-ova. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-44213: Alexandre Bedard

Find My

Dostupno za: macOS Sequoia

Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji

Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.

CVE-2024-44289: Kirin (@Pwnrin)

Foundation

Dostupno za: macOS Sequoia

Učinak: parsiranjem zlonamjerne datoteke moglo je doći do otkrivanja korisničkih podataka

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-44282: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

Game Controllers

Dostupno za: macOS Sequoia

Učinak: napadač s fizičkim pristupom može aplikacijama koje se izvode na zaključanom uređaju slati naredbe putem kontrolera za igre

Opis: problem je riješen ograničavanjem opcija na zaključanom uređaju.

CVE-2024-44265: Ronny Stiftel

ImageIO

Dostupno za: macOS Sequoia

Učinak: obradom slike može doći do otkrivanja procesne memorije

Opis: taj je problem riješen poboljšanim provjerama.

CVE-2024-44215: Junsung Lee i inicijativa Zero Day (Trend Micro)

ImageIO

Dostupno za: macOS Sequoia

Učinak: obrada zlonamjerne poruke mogla je dovesti do odbijanja usluge

Opis: problem je riješen poboljšanim provjerama ograničenja.

CVE-2024-44297: Jex Amro

Installer

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima

Opis: problem s pristupom riješen je dodatnim ograničenjima za memoriju za testiranje.

CVE-2024-44216: Zhongquan Li (@Guluisacat)

Installer

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi izmijeniti zaštićene dijelove datotečnog sustava

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44287: Mickey Jin (@patch1t)

IOGPUFamily

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi uzrokovati odbijanje usluge

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-44197: Wang Yu (Cyberserval)

IOMobileFrameBuffer

Dostupno za: macOS Sequoia

Učinak: napadač je mogao uzrokovati neočekivani pad sustava ili izvršavanje proizvoljnog koda u firmveru DCP

Opis: problem je riješen poboljšanim provjerama ograničenja.

CVE-2024-44299: Ye Zhang (@VAR10CK) (Baidu Security)

CVE-2024-44241: Ye Zhang (@VAR10CK) (Baidu Security)

CVE-2024-44242: Ye Zhang (@VAR10CK) (Baidu Security)

IOSurface

Dostupno za: macOS Sequoia

Učinak: neka bi aplikacija mogla izazvati neočekivano zatvaranje sustava ili oštećenje kernelske memorije

Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2024-44285: anonimni istraživač

Kernel

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla otkriti osjetljivo kernelsko stanje

Opis: problem otkrivanja podataka riješen je poboljšanim redigiranjem privatnih podataka za unose u zapisniku.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

LaunchServices

Dostupno za: macOS Sequoia

Učinak: aplikacije bi mogle izaći izvan ograničene memorije

Opis: uvjet nadvladavanja riješen je dodatnom provjerom valjanosti.

CVE-2024-40849: Arsenii Kostromin (0x3c3e)

libarchive

Dostupno za: macOS Sequoia

Učinak: obradom zlonamjerne datoteke moglo je doći do odbijanja usluge

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-44201: Ben Roeder

Login Window

Dostupno za: macOS Sequoia

Učinak: osoba s fizičkim pristupom Mac računalu može zaobići prozor za prijavu tijekom ažuriranja softvera

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-44231: Toomas Römer

Login Window

Dostupno za: macOS Sequoia

Učinak: napadač s fizičkim pristupom Mac računalu mogao bi pregledati zaštićeni sadržaj s prozora za prijavu

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-44223: Jaime Bertran

Maps

Dostupno za: macOS Sequoia

Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44222: Kirin (@Pwnrin)

Messages

Dostupno za: macOS Sequoia

Učinak: aplikacije bi mogle izaći izvan ograničene memorije

Opis: problem je riješen poboljšanom sanitizacijom ulaznih podataka.

CVE-2024-44256: Mickey Jin (@patch1t)

NetAuth

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla je otkriti korisnikove vjerodajnice

Opis: taj je problem riješen poboljšanim provjerama ovlaštenja.

CVE-2024-54471: Noah Gregory (wts.dev)

Notification Center

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.

CVE-2024-44292: Kirin (@Pwnrin)

Notification Center

Dostupno za: macOS Sequoia

Učinak: korisnik bi mogao pregledavati osjetljive korisničke informacije

Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.

CVE-2024-44293: Kirin (@Pwnrin) i 7feilee

PackageKit

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi izmijeniti zaštićene dijelove datotečnog sustava

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44247: Un3xploitable (CW Research Inc)

CVE-2024-44267: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc), Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44301: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc), Pedro Tôrres (@t0rr3sp3dr0)

CVE-2024-44275: Arsenii Kostromin (0x3c3e)

CVE-2024-44303: Pedro Tôrres (@t0rr3sp3dr0)

PackageKit

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla zaobići Postavke privatnosti

Opis: slaba točka zbog brisanja puta riješena je sprječavanjem izvršavanja koda sa slabim točkama uz povećane ovlasti.

CVE-2024-44156: Arsenii Kostromin (0x3c3e)

CVE-2024-44159: Mickey Jin (@patch1t)

PackageKit

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44253: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) (Kandji)

PackageKit

Dostupno za: macOS Sequoia

Učinak: napadač s korijenskim ovlastima mogao bi izbrisati zaštićene datoteke sustava

Opis: slaba točka zbog brisanja puta riješena je sprječavanjem izvršavanja koda sa slabim točkama uz povećane ovlasti.

CVE-2024-44294: Mickey Jin (@patch1t)

PackageKit

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava

Opis: problem s dozvolom riješen je dodatnim ograničenjima.

CVE-2024-44196: Csaba Fitzl (@theevilbit) (Kandji)

Photos

Dostupno za: macOS Sequoia

Učinak: neka bi aplikacija mogla pristupiti kontaktima bez korisnikova pristanka

Opis: problem s dozvolom riješen je dodatnim ograničenjima.

CVE-2024-40858: Csaba Fitzl (@theevilbit) (Kandji)

Pro Res

Dostupno za: macOS Sequoia

Učinak: neka bi aplikacija mogla izazvati neočekivano zatvaranje sustava ili oštećenje kernelske memorije

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2024-44277: anonimni istraživač i Yinyi Wu (@_3ndy1) iz laboratorija Dawn Security Lab tvrtke JD.com, Inc.

Quick Look

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla čitati proizvoljne datoteke

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2024-44195: anonimni istraživač

Safari Downloads

Dostupno za: macOS Sequoia

Učinak: napadač bi mogao zloupotrijebiti pouzdani odnos za preuzimanje zlonamjernog sadržaja

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-44259: Narendra Bhati, voditelj odjela kibernetičke sigurnosti (Suma Soft Pvt.) Ltd, Pune, Indija)

Safari Private Browsing

Dostupno za: macOS Sequoia

Učinak: tijekom privatne sesije pregledavanja može doći do otkrivanja podataka o ranijim pregledima

Opis: curenje informacija riješeno je dodatnom provjerom valjanosti.

CVE-2024-44229: Lucas Di Tomase

Sandbox

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima

Opis: ovaj je problem riješen poboljšanom provjerom valjanosti simboličkih veza.

CVE-2024-44211: Gergely Kalman (@gergely_kalman) i Csaba Fitzl (@theevilbit)

Sandbox

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija s korijenskim ovlastima mogla bi pristupiti privatnim podacima

Opis: problem s dozvolom riješen je dodatnim ograničenjima.

CVE-2024-44219: Ryan Dowd (@_rdowd)

SceneKit

Dostupno za: macOS Sequoia

Učinak: obrada zlonamjerne datoteke može dovesti do oštećenja skupa

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44218: Michael DePlante (@izobashi), projekt Zero Day Initiative (Trend Micro)

Screen Sharing Server

Dostupno za: macOS Sequoia

Učinak: korisnik s pristupom dijeljenju zaslona mogao bi vidjeti zaslon drugog korisnika

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2024-44248: Halle Winkler, Politepix (theoffcuts.org)

Security

Dostupno za: macOS Sequoia

Učinak: udaljeni napadač mogao bi uzrokovati odbijanje usluge

Opis: problem s odbijanjem usluge riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-54538: Bing Shi, Wenchao Li i Xiaolong Bai (Alibaba Group) te Luyi Xing (Indiana University Bloomington)

Shortcuts

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija može upotrebljavati prečace za pristup ograničenim datotekama

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2024-44269: Kirin (@Pwnrin) i anonimni istraživač

sips

Dostupno za: macOS Sequoia

Učinak: obrada zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije

Opis: problem s pristupom izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2024-44236: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CVE-2024-44237: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

sips

Dostupno za: macOS Sequoia

Učinak: parsiranjem zlonamjerne datoteke moglo je doći do otkrivanja korisničkih podataka

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-44279: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CVE-2024-44281: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

sips

Dostupno za: macOS Sequoia

Učinak: raščlanjivanje zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2024-44283: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

sips

Dostupno za: macOS Sequoia

Učinak: raščlanjivanje zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije

Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-44284: Junsung Lee, dw0r! i inicijativa Zero Day (Trend Micro)

Siri

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Dostupno za: macOS Sequoia

Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44200: Cristian Dinca (icmd.tech)

Siri

Dostupno za: macOS Sequoia

Učinak: aplikacija u memoriji za testiranje mogla bi pristupiti osjetljivim korisničkim podacima u zapisnicima sustava

Opis: problem otkrivanja podataka riješen je poboljšanim redigiranjem privatnih podataka za unose u zapisniku.

CVE-2024-44278: Kirin (@Pwnrin)

SystemMigration

Dostupno za: macOS Sequoia

Učinak: zlonamjerna aplikacija mogla bi stvarati simboličke veze na zaštićena područja diska

Opis: ovaj je problem riješen poboljšanom provjerom valjanosti simboličkih veza.

CVE-2024-44264: Mickey Jin (@patch1t)

Weather

Dostupno za: macOS Sequoia

Učinak: aplikacija može odrediti korisnikovu trenutnu lokaciju

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44290: Kirin (@Pwnrin)

WebKit

Dostupno za: macOS Sequoia

Učinak: obrada zlonamjerno izrađenog web sadržaja može spriječiti provođenje pravila za zaštitu sigurnosti sadržaja

Opis: problem je riješen poboljšanim provjerama.

CVE-2024-44296: Narendra Bhati, voditelj odjela kibernetičke sigurnosti (Suma Soft Pvt.) Ltd, Pune, Indija)

WebKit

Dostupno za: macOS Sequoia

Učinak: kolačići iz jednog ishodišta mogli bi se poslati drugom ishodištu

Opis: problem s upravljanjem kolačićima riješen je poboljšanim upravljanjem stanjem.

CVE-2024-44212: Wojciech Regula of SecuRing (wojciechregula.blog)

WebKit

Dostupno za: macOS Sequoia

Učinak: obradom zlonamjernog web-sadržaja može doći do neočekivanog rušenja procesa

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2024-44244: anonimni istraživač, Q1IQ (@q1iqF) i P1umer (@p1umer)

WindowServer

Dostupno za: macOS Sequoia

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.

CVE-2024-44257: Bohdan Stasiuk (@Bohdan_Stasiuk)

Dodatna zahvala

Airport

Zahvaljujemo Bohdanu Stasiuku (@Bohdan_Stasiuk) i K宝(@Pwnrin) na pomoći.

Calculator

Na pomoći zahvaljujemo Kennethu Chewu.

Calendar

Na pomoći zahvaljujemo korisniku K宝 (@Pwnrin).

ImageIO

Na pomoći zahvaljujemo Amiru Bazineu i Karstenu Königu (CrowdStrike Counter Adversary Operations) i anonimnom istraživaču.

Messages

Na pomoći zahvaljujemo Collinu Potteru i anonimnom istraživaču.

NetworkExtension

Na pomoći zahvaljujemo Patricku Wardleu (DoubleYou) i organizaciji Objective-See Foundation.

Notification Center

Na pomoći zahvaljujemo korisnicima Kirinu (@Pwnrin) i LFYSecu.

Photos

Na pomoći zahvaljujemo Jamesu Robertsonu.

Safari Private Browsing

Na pomoći zahvaljujemo anonimnom istraživaču i korisniku Jacobu Comptonu.

Safari Tabs

Zahvaljujemo Jaydevu Ahireu na pomoći.

Siri

Na pomoći zahvaljujemo Bistritu Dahalu.