Om sikkerhetsinnholdet i visionOS 2

Dette dokumentet beskriver sikkerhetsinnholdet i visionOS 2

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Apple-sikkerhetsutgivelser.

Apple-sikkerhetsdokumenter henviser til sårbarheter etter CVE-ID når det er mulig.

Hvis du vil ha mer informasjon om sikkerhet, kan du gå til siden for Apple-produktsikkerhet.

visionOS 2

ARKit

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av en skadelig fil kan føre til skade i heapen

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2024-44126: Holger Fuhrmannek

APFS

Tilgjengelig for: Apple Vision Pro

Virkning: En skadelig app med rotrettigheter kan endre innholdet i systemfiler

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)

Compression

Tilgjengelig for: Apple Vision Pro

Virkning: Utpakking av et skadelig arkiv kan gi en angriper muligheten til å skrive tilfeldige filer

Beskrivelse: En kappløpssituasjon ble løst gjennom forbedret låsing.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Game Center

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan kanskje få tilgang til sensitiv brukerinformasjon

Beskrivelse: Et filtilgangsproblem ble løst gjennom forbedret validering av inndata.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

ImageIO

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av en skadelig fil kan føre til uventet appavslutning

Beskrivelse: Et problem med lesing utenfor bufferen ble løst gjennom forbedret validering av inndata.

CVE-2024-27880: Junsung Lee

ImageIO

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av et bilde kan føre til tjenestenekt

Beskrivelse: Et problem med tilgang utenfor bufferen ble løst gjennom forbedret bufferverdikontroll.

CVE-2024-44176: dw0r hos ZeroPointer Lab i samarbeid med Trend Micro Zero Day Initiative og en anonym forsker

IOSurfaceAccelerator

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan forårsake uventet systemavslutning

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

CVE-2024-44169: Antonio Zekić

Kernel

Tilgjengelig for: Apple Vision Pro

Virkning: Nettverkstrafikk kan lekke utenfor en VPN-tunnel

Beskrivelse: Et logisk problem ble løst med forbedrede kontroller.

CVE-2024-44165: Andrew Lytvynov

Kernel

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan få uautorisert tilgang til Bluetooth

Beskrivelse: Dette problemet ble løst med forbedret tilstandshåndtering.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) og Mathy Vanhoef

libxml2

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av skadelig nettinnhold kan føre til uventet prosesstopp

Beskrivelse: Et problem med heltallsoverflyt ble løst gjennom forbedret validering av inndata.

CVE-2024-44198: OSS-Fuzz, Ned Williamson hos Google Project Zero

mDNSResponder

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan være i stand til å forårsake tjenestenekt

Beskrivelse: En logikkfeil ble løst gjennom forbedret feilhåndtering.

CVE-2024-44183: Olivier Levon

Model I/O

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av et skadelig bilde kan føre til tjenestenekt

Beskrivelse: Dette er en sårbarhet i åpen kildekode og Apple-programvare er blant de berørte prosjektene. CVE-ID-en ble tildelt av en tredjepart. Finn ut mer om dette problemet og CVE-ID-en på cve.org.

CVE-2023-5841

Notes

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan være i stand til å overskrive vilkårlige filer

Beskrivelse: Problemet ble løst ved å fjerne den sårbare koden.

CVE-2024-44167: ajajfxhj

Presence

Tilgjengelig for: Apple Vision Pro

Virkning: En app kan lese sensitiv data fra grafikkprosessorens minne

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av buffere.

CVE-2024-40790: Max Thomas

SceneKit

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av en skadelig fil kan føre til uventet appavslutning

Beskrivelse: En bufferoverflyt ble løst gjennom forbedret størrelsesvalidering.

CVE-2024-44144: 냥냥

WebKit

Tilgjengelig for: Apple Vision Pro

Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder

Beskrivelse: Dette problemet ble løst med forbedret tilstandshåndtering.

CVE-2024-40857: Ron Masas

WebKit

Tilgjengelig for: Apple Vision Pro

Virkning: Et skadelig nettsted kan eksfiltrere data på tvers av opphav

Beskrivelse: Det var et problem på tvers av opprinnelsessteder i «iframe»-elementer. Problemet ble løst gjennom forbedret sporing av sikkerhetsopphav.

CVE-2024-44187: Narendra Bhati, leder for Cyber Security ved Suma Soft Pvt. Ltd, Pune (India)

Ytterligere anerkjennelser

Kernel

Vi vil gjerne takke Braxton Anderson for hjelpen.

Maps

Vi vil gjerne takke Kirin (@Pwnrin) for hjelpen.

Passwords

Vi vil gjerne takke Richard Hyunho Im (@r1cheeta) for hjelpen.

TCC

Vi vil gjerne takke Vaibhav Prajapati for hjelpen.

WebKit

Vi vil gjerne takke Avi Lumelsky fra Oligo Security, Uri Katz fra Oligo Security, Eli Grey (eligrey.com) og Johan Carlsson (joaxcar) for hjelpen.