Informacije o sigurnosnom ažuriranju sustava macOS Sequoia 15.1
U ovom se dokumentu opisuje sigurnosni sadržaj sustava macOS Sequoia 15.1.
Informacije o Appleovim sigurnosnim ažuriranjima
Radi zaštite korisnika, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Najnovija izdanja navedena su na stranici Appleova sigurnosna izdanja.
Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID kad god je to moguće.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.
Informacije o sigurnosnom ažuriranju sustava macOS Sequoia 15.1
Izdano 28. listopada 2024.
Apache
Učinak: otkriven je veći broj problema u softveru Apache
Opis: radi se o ranjivosti u otvorenom kodu i Appleov softver je među projektima koji su time pogođeni. CVE-ID je dodijelila treća strana. Više o problemu i CVE-ID oznaku pronađite na cve.org.
CVE-2024-39573
CVE-2024-38477
CVE-2024-38476
App Support
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi pokretati proizvoljno odabrane prečace bez pristanka korisnika
Opis: problem s obradom putova riješen je poboljšanom logikom.
CVE-2024-44255: anonimni istraživač
AppleAVD
Dostupno za: macOS Sequoia
Učinak: parsanje zlonamjernih video datoteka može dovesti do neočekivanog zatvaranja sustava
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2024-44232: Ivan Fratric (Google Project Zero)
CVE-2024-44233: Ivan Fratric (Google Project Zero)
CVE-2024-44234: Ivan Fratric (Google Project Zero)
Unos dodan 1. studenog 2024.
AppleMobileFileIntegrity
Dostupno za: macOS Sequoia
Učinak: proces u memoriji za testiranje mogao bi zaobići ograničenja memorije za testiranje
Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.
CVE-2024-44270: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem smanjenja verzije koji utječe na Mac računala s Intelovim čipom riješen je dodatnim ograničenjima potpisivanja koda.
CVE-2024-44280: Mickey Jin (@patch1t)
Assets
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija s korijenskim privilegijama možda bi mogla izmjenjivati sadržaj sistemskih datoteka
Opis: problem je riješen uklanjanjem koda sa slabim točkama.
CVE-2024-44260: Mickey Jin (@patch1t)
Contacts
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti informacijama o kontaktima korisnika
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2024-44298: Kirin (@Pwnrin) i 7feilee
CoreMedia Playback
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi pristupiti privatnim podacima
Opis: problem je riješen poboljšanim rukovanjem simboličkim vezama.
CVE-2024-44273: pattern-f (@pattern_F_), Hikerell iz laboratorija Loadshine Lab
CoreServicesUIAgent
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: taj je problem riješen poboljšanim provjerama ovlaštenja.
CVE-2024-44295: anonimni istraživač
CoreText
Dostupno za: macOS Sequoia
Učinak: obradom zlonamjernog fonta može se otkriti procesna memorija
Opis: problem je riješen poboljšanim provjerama.
CVE-2024-44240: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
CVE-2024-44302: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
CUPS
Dostupno za: macOS Sequoia
Učinak: napadač s administratorskim mrežnim ovlastima mogao bi otkriti povjerljive korisničke podatke
Opis: problem je postojao u raščlanjivanju URL-ova. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2024-44213: Alexandre Bedard
Find My
Dostupno za: macOS Sequoia
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2024-44289: Kirin (@Pwnrin)
Foundation
Dostupno za: macOS Sequoia
Učinak: parsiranjem zlonamjerne datoteke moglo je doći do otkrivanja korisničkih podataka
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2024-44282: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
Game Controllers
Dostupno za: macOS Sequoia
Učinak: napadač s fizičkim pristupom može aplikacijama koje se izvode na zaključanom uređaju slati naredbe putem kontrolera za igre
Opis: problem je riješen ograničavanjem opcija na zaključanom uređaju.
CVE-2024-44265: Ronny Stiftel
ImageIO
Dostupno za: macOS Sequoia
Učinak: obradom slike može doći do otkrivanja procesne memorije
Opis: taj je problem riješen poboljšanim provjerama.
CVE-2024-44215: Junsung Lee i inicijativa Zero Day (Trend Micro)
ImageIO
Dostupno za: macOS Sequoia
Učinak: obrada zlonamjerne poruke mogla je dovesti do odbijanja usluge
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2024-44297: Jex Amro
Installer
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: problem s pristupom riješen je dodatnim ograničenjima za memoriju za testiranje.
CVE-2024-44216: Zhongquan Li (@Guluisacat)
Installer
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem je riješen poboljšanim provjerama.
CVE-2024-44287: Mickey Jin (@patch1t)
IOGPUFamily
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi uzrokovati odbijanje usluge
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2024-44197: Wang Yu (Cyberserval)
IOSurface
Dostupno za: macOS Sequoia
Učinak: neka bi aplikacija mogla izazvati neočekivano zatvaranje sustava ili oštećenje kernelske memorije
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2024-44285: anonimni istraživač
Kernel
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla otkriti osjetljivo kernelsko stanje
Opis: problem otkrivanja podataka riješen je poboljšanim redigiranjem privatnih podataka za unose u zapisniku.
CVE-2024-44239: Mateusz Krzywicki (@krzywix)
Login Window
Dostupno za: macOS Sequoia
Učinak: osoba s fizičkim pristupom Mac računalu može zaobići prozor za prijavu tijekom ažuriranja softvera
Opis: problem je riješen poboljšanim upravljanjem stanjem.
CVE-2024-44231: Toomas Römer
Login Window
Dostupno za: macOS Sequoia
Učinak: napadač s fizičkim pristupom Mac računalu mogao bi pregledati zaštićeni sadržaj s prozora za prijavu
Opis: problem je riješen poboljšanim upravljanjem stanjem.
CVE-2024-44223: Jaime Bertran
Maps
Dostupno za: macOS Sequoia
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2024-44222: Kirin (@Pwnrin)
Messages
Dostupno za: macOS Sequoia
Učinak: aplikacije bi mogle izaći izvan ograničene memorije
Opis: problem je riješen poboljšanom sanitizacijom ulaznih podataka.
CVE-2024-44256: Mickey Jin (@patch1t)
Notification Center
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2024-44292: Kirin (@Pwnrin)
Notification Center
Dostupno za: macOS Sequoia
Učinak: korisnik bi mogao pregledavati osjetljive korisničke informacije
Opis: problem privatnosti riješen je poboljšanim redigiranjem privatnih podataka zapisa.
CVE-2024-44293: Kirin (@Pwnrin) i 7feilee
PackageKit
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem je riješen poboljšanim provjerama.
CVE-2024-44247: Un3xploitable (CW Research Inc)
CVE-2024-44267: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc), Pedro Tôrres (@t0rr3sp3dr0)
CVE-2024-44301: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable (CW Research Inc), Pedro Tôrres (@t0rr3sp3dr0)
CVE-2024-44275: Arsenii Kostromin (0x3c3e)
PackageKit
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: slaba točka zbog brisanja puta riješena je sprječavanjem izvršavanja koda sa slabim točkama uz povećane ovlasti.
CVE-2024-44156: Arsenii Kostromin (0x3c3e)
CVE-2024-44159: Mickey Jin (@patch1t)
PackageKit
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem je riješen poboljšanim provjerama.
CVE-2024-44253: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) (Kandji)
PackageKit
Dostupno za: macOS Sequoia
Učinak: napadač s korijenskim ovlastima mogao bi izbrisati zaštićene datoteke sustava
Opis: slaba točka zbog brisanja puta riješena je sprječavanjem izvršavanja koda sa slabim točkama uz povećane ovlasti.
CVE-2024-44294: Mickey Jin (@patch1t)
PackageKit
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem s dozvolom riješen je dodatnim ograničenjima.
CVE-2024-44196: Csaba Fitzl (@theevilbit) (Kandji)
Photos
Dostupno za: macOS Sequoia
Učinak: neka bi aplikacija mogla pristupiti kontaktima bez korisnikova pristanka
Opis: problem s dozvolom riješen je dodatnim ograničenjima.
CVE-2024-40858: Csaba Fitzl (@theevilbit) (Kandji)
Pro Res
Dostupno za: macOS Sequoia
Učinak: neka bi aplikacija mogla izazvati neočekivano zatvaranje sustava ili oštećenje kernelske memorije
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2024-44277: anonimni istraživač i Yinyi Wu (@_3ndy1) iz laboratorija Dawn Security Lab tvrtke JD.com, Inc.
Quick Look
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla čitati proizvoljne datoteke
Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.
CVE-2024-44195: anonimni istraživač
Safari Downloads
Dostupno za: macOS Sequoia
Učinak: napadač bi mogao zloupotrijebiti pouzdani odnos za preuzimanje zlonamjernog sadržaja
Opis: problem je riješen poboljšanim upravljanjem stanjem.
CVE-2024-44259: Narendra Bhati, voditelj odjela kibernetičke sigurnosti (Suma Soft Pvt.) Ltd, Pune, Indija)
Safari Private Browsing
Dostupno za: macOS Sequoia
Učinak: tijekom privatne sesije pregledavanja može doći do otkrivanja podataka o ranijim pregledima
Opis: curenje informacija riješeno je dodatnom provjerom valjanosti.
CVE-2024-44229: Lucas Di Tomase
Sandbox
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: ovaj je problem riješen poboljšanom provjerom valjanosti simboličkih veza.
CVE-2024-44211: Gergely Kalman (@gergely_kalman) i Csaba Fitzl (@theevilbit)
SceneKit
Dostupno za: macOS Sequoia
Učinak: obrada zlonamjerne datoteke može dovesti do oštećenja skupa
Opis: problem je riješen poboljšanim provjerama.
CVE-2024-44218: Michael DePlante (@izobashi), projekt Zero Day Initiative (Trend Micro)
Shortcuts
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2024-44254: Kirin (@Pwnrin)
Shortcuts
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija može upotrebljavati prečace za pristup ograničenim datotekama
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2024-44269: anonimni istraživač
sips
Dostupno za: macOS Sequoia
Učinak: obrada zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije
Opis: problem s pristupom izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2024-44236: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
CVE-2024-44237: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
sips
Dostupno za: macOS Sequoia
Učinak: parsiranjem zlonamjerne datoteke moglo je doći do otkrivanja korisničkih podataka
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2024-44279: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
CVE-2024-44281: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
sips
Dostupno za: macOS Sequoia
Učinak: raščlanjivanje zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije
Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2024-44283: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)
sips
Dostupno za: macOS Sequoia
Učinak: raščlanjivanje zlonamjerne datoteke može dovesti do neočekivanog zatvaranja aplikacije
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.
CVE-2024-44284: Junsung Lee, dw0r! i inicijativa Zero Day (Trend Micro)
Siri
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)
Siri
Dostupno za: macOS Sequoia
Učinak: aplikacija u memoriji za testiranje mogla bi pristupiti osjetljivim korisničkim podacima u zapisnicima sustava
Opis: problem otkrivanja podataka riješen je poboljšanim redigiranjem privatnih podataka za unose u zapisniku.
CVE-2024-44278: Kirin (@Pwnrin)
SystemMigration
Dostupno za: macOS Sequoia
Učinak: zlonamjerna aplikacija mogla bi stvarati simboličke veze na zaštićena područja diska
Opis: ovaj je problem riješen poboljšanom provjerom valjanosti simboličkih veza.
CVE-2024-44264: Mickey Jin (@patch1t)
WebKit
Dostupno za: macOS Sequoia
Učinak: obrada zlonamjerno izrađenog web sadržaja može spriječiti provođenje pravila za zaštitu sigurnosti sadržaja
Opis: problem je riješen poboljšanim provjerama.
WebKit Bugzilla: 278765
CVE-2024-44296: Narendra Bhati, voditelj odjela kibernetičke sigurnosti (Suma Soft Pvt.) Ltd, Pune, Indija)
WebKit
Dostupno za: macOS Sequoia
Učinak: obradom zlonamjernog web-sadržaja može doći do neočekivanog rušenja procesa
Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.
WebKit Bugzilla: 279780
CVE-2024-44244: anonimni istraživač, Q1IQ (@q1iqF) i P1umer (@p1umer)
WindowServer
Dostupno za: macOS Sequoia
Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima
Opis: ovaj je problem riješen poboljšanim redigiranjem osjetljivih informacija.
CVE-2024-44257: Bohdan Stasiuk (@Bohdan_Stasiuk)
Dodatna zahvala
Airport
Zahvaljujemo Bohdanu Stasiuku (@Bohdan_Stasiuk) i K宝(@Pwnrin) na pomoći.
Calculator
Na pomoći zahvaljujemo Kennethu Chewu.
Calendar
Na pomoći zahvaljujemo korisniku K宝 (@Pwnrin).
ImageIO
Na pomoći zahvaljujemo Amiru Bazineu i Karstenu Königu (CrowdStrike Counter Adversary Operations) i anonimnom istraživaču.
Messages
Na pomoći zahvaljujemo Collinu Potteru i anonimnom istraživaču.
NetworkExtension
Na pomoći zahvaljujemo Patricku Wardleu (DoubleYou) i organizaciji Objective-See Foundation.
Notification Center
Na pomoći zahvaljujemo korisnicima Kirinu (@Pwnrin) i LFYSecu.
Photos
Na pomoći zahvaljujemo Jamesu Robertsonu.
Safari Private Browsing
Na pomoći zahvaljujemo anonimnom istraživaču r00tdaddy.
Safari Tabs
Zahvaljujemo Jaydevu Ahireu na pomoći.
Security
Na pomoći zahvaljujemo Bingu Shiju, Wenchaou Liju i Xiaolongu Baiju (Alibaba Group).
Siri
Na pomoći zahvaljujemo Bistritu Dahalu.
Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.