Sobre o conteúdo de segurança do macOS Sequoia 15

Este documento descreve o conteúdo de segurança do macOS Sequoia 15.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página de versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para obter mais informações sobre segurança, consulte a página Segurança do produto Apple.

macOS Sequoia 15

Lançamento em 16 de setembro de 2024

Accounts

Disponível para: Mac Studio (2022 e posterior), iMac (2019 e posterior), Mac Pro (2019 e posterior), Mac mini (2018 e posterior), MacBook Air (2020 e posterior), MacBook Pro (2018 e posterior) e iMac Pro (2017 e posterior)

Impacto: um app pode causar vazamento de informações confidenciais do usuário

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44129

Accounts

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: o problema foi resolvido por meio de melhorias na lógica de permissões.

CVE-2024-44153: Mickey Jin (@patch1t)

Accounts

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44188: Bohdan Stasiuk (@Bohdan_Stasiuk)

AirPort

Impacto: um app malicioso pode alterar os ajustes de rede

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40792: Yiğit Can YILMAZ (@yilmazcanyigit)

Entrada adicionada em 28 de outubro de 2024

APFS

Impacto: um app malicioso com privilégios raiz pode modificar o conteúdo dos arquivos do sistema

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-40825: Pedro Tôrres (@t0rr3sp3dr0)

APNs

Impacto: um app com privilégios raiz pode conseguir acessar informações privadas

Descrição: esse problema foi resolvido por meio de melhorias na proteção de dados.

CVE-2024-44130

App Intents

Impacto: um app poderia ser capaz de acessar dados confidenciais quando um atalho falha em iniciar outro app

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2024-44182: Kirin (@Pwnrin)

AppleGraphicsControl

Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um problema na inicialização da memória foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-44154: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

AppleGraphicsControl

Impacto: processar um arquivo de vídeo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-40845: Pwn2car em parceria com a Zero Day Initiative da Trend Micro

CVE-2024-40846: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

AppleMobileFileIntegrity

Impacto: um app pode ignorar as preferências de Privacidade

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44164: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40837: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema foi resolvido por meio de restrições adicionais de assinatura de código.

CVE-2024-40847: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: um invasor pode conseguir ler informações confidenciais

Descrição: um problema em downgrade foi resolvido por meio de restrições adicionais de assinatura de código.

CVE-2024-40848: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: um problema de injeção de biblioteca foi resolvido por meio de restrições adicionais.

CVE-2024-44168: Claudio Bozzato e Francesco Benvenuto da Cisco Talos

AppleVA

Impacto: um aplicativo pode conseguir ler a memória restrita

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-27860: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

CVE-2024-27861: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

AppleVA

Impacto: processar um arquivo de vídeo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2024-40841: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

AppSandbox

Impacto: uma extensão de câmera pode ser capaz de acessar a internet

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-27795: Halle Winkler, Politepix @hallewinkler

AppSandbox

Impacto: um app pode ser capaz de acessar arquivos protegidos em um container do App Sandbox

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44135: Mickey Jin (@patch1t)

ArchiveService

Impacto: um app pode conseguir sair de sua área restrita

Descrição: esse problema foi resolvido por meio de melhorias no processamento de links simbólicos.

CVE-2024-44132: Mickey Jin (@patch1t)

ARKit

Impacto: processar um arquivo criado com códigos maliciosos pode causar o corrompimento do heap

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44126: Holger Fuhrmannek

Entrada adicionada em 28 de outubro de 2024

Automator

Impacto: um fluxo de trabalho do Automator Quick Action pode ser capaz de ignorar o Gatekeeper

Descrição: o problema foi resolvido por meio da adição de uma solicitação adicional de consentimento do usuário.

CVE-2024-44128: Anton Boegler

bless

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44151: Mickey Jin (@patch1t)

Compression

Impacto: descompactar um arquivo criado com códigos maliciosos pode permitir que um invasor grave arquivos arbitrários

Descrição: uma condição de corrida foi resolvida por meio de melhorias no bloqueio.

CVE-2024-27876: Snoolie Keffaber (@0xilis)

Control Center

Impacto: um app pode registrar a tela sem um indicador

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-27869: pesquisador anônimo

Control Center

Impacto: indicadores de privacidade para acesso a microfone e câmera podem ser atribuídos incorretamente

Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-27875: Yiğit Can YILMAZ (@yilmazcanyigit)

copyfile

Impacto: um app pode conseguir sair de sua área restrita

Descrição: um problema de lógica foi resolvido por meio de melhorias no processamento de arquivos.

CVE-2024-44146: pesquisador anônimo

Core Data

Impacto: um app pode conseguir ler informações confidenciais de localização

Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.

CVE-2024-27849: Kirin (@Pwnrin), Rodolphe Brunetti (@eisw0lf)

Entrada adicionada em 28 de outubro de 2024

CUPS

Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2023-4504

DiskArbitration

Impacto: um app em sandbox pode ter acesso a dados confidenciais de usuários

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-40855: Csaba Fitzl (@theevilbit) de Kandji

Entrada adicionada em 28 de outubro de 2024

Disk Images

Impacto: um app pode conseguir sair de sua área restrita

Descrição: esse problema foi resolvido por meio de melhorias na validação de atributos de arquivo.

CVE-2024-44148: pesquisador anônimo

Dock

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de privacidade foi resolvido com a remoção de dados confidenciais.

CVE-2024-44177: pesquisador anônimo

FileProvider

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias na validação de links simbólicos.

CVE-2024-44131: @08Tc3wBB da Jamf

Game Center

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de acesso aos arquivos foi resolvido com a melhoria da validação de entradas.

CVE-2024-40850: Denis Tokarev (@illusionofcha0s)

Image Capture

Impacto: um app pode conseguir acessar a Fototeca de um usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40831: Mickey Jin (@patch1t)

ImageIO

Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na validação de entradas.

CVE-2024-27880: Junsung Lee

ImageIO

Impacto: o processamento de uma imagem pode levar a uma negação de serviço

Descrição: um problema de acesso fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2024-44176: dw0r do ZeroPointer Lab trabalhando com a Trend Micro Zero Day Initiative, pesquisador anônimo

Installer

Impacto: um app pode obter privilégios raiz

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-40861: Mickey Jin (@patch1t)

Intel Graphics Driver

Impacto: processar uma textura criada com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um problema de estouro de buffer foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-44160: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

Intel Graphics Driver

Impacto: processar uma textura criada com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2024-44161: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

IOSurfaceAccelerator

Impacto: um app pode causar o encerramento inesperado do sistema

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-44169: Antonio Zekić

Kernel

Impacto: o tráfego de rede pode vazar para fora de um túnel de VPN

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2024-44165: Andrew Lytvynov

Kernel

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias na validação de links simbólicos.

CVE-2024-44175: Csaba Fitzl (@theevilbit) de Kandji

Entrada adicionada em 28 de outubro de 2024

Kernel

Impacto: um app pode obter acesso não autorizado ao Bluetooth

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-44191: Alexander Heinrich, SEEMOO, DistriNet, KU Leuven (@vanhoefm), TU Darmstadt (@Sn0wfreeze) e Mathy Vanhoef

LaunchServices

Impacto: um aplicativo pode conseguir sair de sua área de proteção

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2024-44122: pesquisador anônimo

Entrada adicionada em 28 de outubro de 2024

libxml2

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema de estouro de inteiro foi resolvido por meio de melhorias na validação de entradas.

CVE-2024-44198: OSS-Fuzz, Ned Williamson do Google Project Zero

Mail Accounts

Impacto: um app pode conseguir acessar informações sobre os contatos de um usuário

Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.

CVE-2024-40791: Rodolphe BRUNETTI (@eisw0lf)

Maps

Impacto: um app pode conseguir ler informações confidenciais de localização

Descrição: um problema foi resolvido por meio de melhorias do processamento de arquivos temporários.

CVE-2024-44181: Kirin(@Pwnrin) e LFY(@secsys) da Fudan University

mDNSResponder

Impacto: um app pode ser capaz de causar uma negação de serviço

Descrição: um erro de lógica foi resolvido com a melhoria do tratamento de erros.

CVE-2024-44183: Olivier Levon

Model I/O

Impacto: processar uma imagem criada com códigos maliciosos pode levar a uma negação de serviço

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2023-5841

Music

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-27858: Meng Zhang (鲸落) da NorthSea, Csaba Fitzl (@theevilbit) da Kandji

Entrada adicionada em 28 de outubro de 2024

Notes

Impacto: um app pode substituir arquivos arbitrários

Descrição: o problema foi resolvido por meio da remoção do código vulnerável.

CVE-2024-44167: ajajfxhj

Notification Center

Impacto: um app malicioso pode ser capaz de acessar notificações do dispositivo do usuário

Descrição: um problema de privacidade foi resolvido por meio da migração de dados confidenciais para um local protegido.

CVE-2024-40838: Brian McNulty, Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Romênia, Vaibhav Prajapati

NSColor

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema de acesso foi resolvido por meio de outras restrições.

CVE-2024-44186: pesquisador anônimo

OpenSSH

Impacto: diversos problemas no OpenSSH

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-39894

PackageKit

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: esse problema foi resolvido por meio de melhorias na validação de links simbólicos.

CVE-2024-44178: Mickey Jin (@patch1t)

Printing

Impacto: um documento não criptografado pode ser gravado em um arquivo temporário ao usar a pré-visualização da impressão

Descrição: um problema relacionado à privacidade foi resolvido por meio de melhorias no processamento de arquivos.

CVE-2024-40826: pesquisador anônimo

Quick Look

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44149: Wojciech Regula da SecuRing (wojciechregula.blog), Csaba Fitzl (@theevilbit) da Kandji

Entrada adicionada em 28 de outubro de 2024

Safari

Impacto: acessar um site malicioso pode levar à falsificação da interface de usuário

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-40797: Rifa'i Rejal Maynando

Safari

Impacto: um conteúdo da web criado com códigos maliciosos pode violar a política de área restrita de iframe

Descrição: um problema de processamento de esquema de URLs personalizados foi resolvido por meio de melhoria na validação de entradas.

CVE-2024-44155: Narendra Bhati, gerente de segurança cibernética na Suma Soft Pvt. Ltd, Pune (Índia)

Entrada adicionada em 28 de outubro de 2024

Sandbox

Impacto: um aplicativo malicioso pode causar vazamento de informações confidenciais do usuário

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44125: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: um aplicativo malicioso pode ter acesso a informações privadas

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44163: Zhongquan Li (@Guluisacat)

Sandbox

Impacto: um app pode conseguir acessar a Fototeca de um usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44203: Yiğit Can YILMAZ (@yilmazcanyigit), Wojciech Regula da SecuRing (wojciechregula.blog), Kirin (@Pwnrin) da NorthSea

Entrada adicionada em 28 de outubro de 2024

SceneKit

Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: um estouro de buffer foi resolvido por meio de melhorias na validação de tamanho.

CVE-2024-44144: 냥냥

Entrada adicionada em 28 de outubro de 2024

Screen Capture

Impacto: um invasor com acesso físico pode ser capaz de compartilhar itens a partir da tela bloqueada

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44137: Halle Winkler, Politepix @hallewinkler

Entrada adicionada em 28 de outubro de 2024

Screen Capture

Impacto: um invasor pode conseguir visualizar conteúdo restrito pela tela bloqueada

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44174: Vivek Dhar

Entrada adicionada em 28 de outubro de 2024

Security

Impacto: um app malicioso com privilégios de root pode acessar informações de localização e entrada do teclado sem o consentimento do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44123: Wojciech Regula da SecuRing (wojciechregula.blog)

Entrada adicionada em 28 de outubro de 2024

Security Initialization

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40801: Zhongquan Li (@Guluisacat), Pedro José Pereira Vieito (@pvieito), um pesquisador anônimo

Shortcuts

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40837: Kirin (@Pwnrin)

Shortcuts

Impacto: um atalho pode gerar dados confidenciais do usuário sem consentimento

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2024-44158: Kirin (@Pwnrin)

Shortcuts

Impacto: um app pode ser capaz de observar dados exibidos para o usuário pelo Atalhos

Descrição: um problema relacionado à privacidade foi resolvido por meio de melhorias no processamento de arquivos temporários.

CVE-2024-40844: Kirin (@Pwnrin) e luckyu (@uuulucky) da NorthSea

Sidecar

Impacto: um invasor com acesso físico a um dispositivo macOS com o Sidecar ativado pode ignorar a tela bloqueado

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-44145: Om Kothawade, Omar A. Alanis da UNTHSC College of Pharmacy

Entrada adicionada em 28 de outubro de 2024

Siri

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de privacidade foi resolvido por meio da migração de dados confidenciais para um local mais seguro.

CVE-2024-44170: K宝, LFY (@secsys), Smi1e, yulige, Cristian Dinca (icmd.tech), Rodolphe BRUNETTI (@eisw0lf)

sudo

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2024-40860: Arsenii Kostromin (0x3c3e)

System Settings

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.

CVE-2024-44152: Kirin (@Pwnrin)

CVE-2024-44166: Kirin(@Pwnrin) da LFY(@secsys) da Fudan University

System Settings

Impacto: um app pode ler arquivos arbitrários

Descrição: um problema de processamento de caminhos foi resolvido por meio de melhorias na validação.

CVE-2024-44190: Rodolphe BRUNETTI (@eisw0lf)

TCC

Impacto: em dispositivos gerenciados por MDM, um app poderá ignorar algumas preferências de privacidade

Descrição: o problema foi resolvido por meio da remoção do código vulnerável.

CVE-2024-44133: Jonathan Bar Or (@yo_yo_yo_jbo) da Microsoft

Transparency

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-44184: Bohdan Stasiuk (@Bohdan_Stasiuk)

TV App

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40859: Csaba Fitzl (@theevilbit) da Kandji

Entrada adicionada em 28 de outubro de 2024

Vim

Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-41957

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução universal de scripts entre sites

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 268724

CVE-2024-40857: Ron Masas

WebKit

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: o problema foi resolvido por meio de melhorias da interface do usuário.

WebKit Bugzilla: 279451

CVE-2024-40866: Hafiizh e YoKo Kho (@yokoacc) da HakTrak

WebKit

Impacto: um site malicioso pode extrair dados de origem cruzada

Descrição: havia um problema de origem cruzada em elementos "iframe". Esse problema foi resolvido por meio de melhorias no rastreamento de origens de segurança.

WebKit Bugzilla: 279452

CVE-2024-44187: Narendra Bhati, Gerente da Cyber Security na Suma Soft Pvt. Ltd, Pune (Índia)

Wi-Fi

Impacto: um usuário sem privilégios poderia conseguir modificar ajustes de rede restritos

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-40770: Yiğit Can YILMAZ (@yilmazcanyigit)

Wi-Fi

Impacto: um app pode ser capaz de causar uma negação de serviço

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-23237: Charly Suchanek

Wi-Fi

Impacto: um app pode conseguir ler informações confidenciais de localização

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2024-44134

Wi-Fi

Impacto: um invasor pode forçar um dispositivo a se desconectar de uma rede segura

Descrição: um problema de integridade foi resolvido com o Beacon Protection.

CVE-2024-40856: Domien Schepers

WindowServer

Impacto: havia um problema de lógica onde um processo poderia capturar conteúdos da tela sem consentimento do usuário

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-44189: Tim Clem

WindowServer

Impacto: um app pode conseguir ignorar determinadas preferências de Privacidade

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-44208: pesquisador anônimo

Entrada adicionada em 28 de outubro de 2024

XProtect

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: o problema foi resolvido por meio de melhorias na validação de variáveis do ambiente.

CVE-2024-40842: Gergely Kalman (@gergely_kalman)

XProtect

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-40843: Koh M. Nakagawa (@tsunek0h)

Outros reconhecimentos

Admin Framework

Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Kandji pela ajuda.

Entrada adicionada em 28 de outubro de 2024

AirPort

Gostaríamos de agradecer a David Dudok de Wit pela ajuda.

Entrada adicionada em 28 de outubro de 2024

APFS

Gostaríamos de agradecer a Georgi Valkov da httpstorm.com pela ajuda.

App Store

Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Kandji pela ajuda.

Entrada adicionada em 28 de outubro de 2024

AppKit

Gostaríamos de agradecer a @08Tc3wBB da Jamf pela ajuda.

Apple Neural Engine

Gostaríamos de agradecer a Jiaxun Zhu (@svnswords) e Minghao Lin (@Y1nKoc) pela ajuda.

Automator

Gostaríamos de agradecer a Koh M. Nakagawa (@tsunek0h) pela ajuda.

Core Bluetooth

Gostaríamos de agradecer a Nicholas C. da Onymos Inc. (onymos.com) pela ajuda.

Core Services

Gostaríamos de agradecer a Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Romania, Kirin (@Pwnrin) e 7feilee, Snoolie Keffaber (@0xilis), Tal Lossos, Zhongquan Li (@Guluisacat) pela ajuda.

CUPS

Gostaríamos de agradecer a moein abas pela ajuda.

Entrada adicionada em 28 de outubro de 2024

Disk Utility

Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Kandji pela ajuda.

dyld

Gostaríamos de agradecer a Pietro Francesco Tirenna, Davide Silvetti, Abdel Adim Oisfi da Shielder (shielder.com) pela ajuda.

Entrada adicionada em 28 de outubro de 2024

FileProvider

Gostaríamos de agradecer a Kirin (@Pwnrin) pela ajuda.

Foundation

Gostaríamos de agradecer a Ostorlab pela ajuda.

Kernel

Gostaríamos de agradecer a Braxton Anderson e Fakhri Zulkifli (@d0lph1n98) da PixiePoint Security pela ajuda.

libxpc

Gostaríamos de agradecer a Rasmus Sten, F-Secure (Mastodon: @pajp@blog.dll.nu) pela ajuda.

LLVM

Gostaríamos de agradecer a Victor Duta da Universiteit Amsterdam, Fabio Pagani da University of California, Santa Barbara, Cristiano Giuffrida da Universiteit Amsterdam, Marius Muench e Fabian Freyer pela ajuda.

Maps

Gostaríamos de agradecer a Kirin (@Pwnrin) pela ajuda.

Music

Gostaríamos de agradecer a Khiem Tran da databaselog.com/khiemtran, K宝 e LFY@secsys da Fudan University, Yiğit Can YILMAZ (@yilmazcanyigit) pela ajuda.

Notification Center

Gostaríamos de agradecer a Kirin (@Pwnrin) e LFYSec pela ajuda.

Entrada adicionada em 28 de outubro de 2024

Notifications

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

PackageKit

Gostaríamos de agradecer a Csaba Fitzl (@theevilbit) da Kandji, Mickey Jin (@patch1t), Zhongquan Li (@Guluisacat) pela ajuda.

Entrada adicionada em 28 de outubro de 2024

Passwords

Gostaríamos de agradecer a Richard Hyunho Im (@r1cheeta) pela ajuda.

Photos

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College da Technology Bhopal India, Harsh Tyagi, Leandro Chaves pela ajuda.

Podcasts

Gostaríamos de agradecer a Yiğit Can YILMAZ (@yilmazcanyigit) pela ajuda.

Quick Look

Gostaríamos de agradecer a Zhipeng Huo (@R3dF09) da Tencent Security Xuanwu Lab (xlab.tencent.com) pela ajuda.

Safari

Gostaríamos de agradecer aHafiizh e YoKo Kho (@yokoacc) da HakTrak, Junsung Lee, Shaheen Fazim pela ajuda.

Sandbox

Gostaríamos de agradecer a Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Romênia, pela ajuda.

Entrada adicionada em 28 de outubro de 2024

Screen Capture

Gostaríamos de agradecer a Joshua Jewett (@JoshJewett33), Yiğit Can YILMAZ (@yilmazcanyigit) e um pesquisador anônimo pela ajuda.

Shortcuts

Gostaríamos de agradecer a Cristian Dinca da "Tudor Vianu" National High School of Computer Science, Romênia, Jacob Braun e pesquisador anônimo pela ajuda.

Siri

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) do Lakshmi Narain College of Technology Bhopal India e a Rohan Paudel, um pesquisador anônimo, pela ajuda.

Entrada adicionada em 28 de outubro de 2024

SystemMigration

Gostaríamos de agradecer a Jamey Wicklund, Kevin Jansen e um pesquisador anônimo pela ajuda.

TCC

Gostaríamos de agradecer a Noah Gregory (wts.dev), Vaibhav Prajapati pela ajuda.

UIKit

Gostaríamos de agradecer a Andr.Ess pela ajuda.

Voice Memos

Gostaríamos de agradecer a Lisa B pela ajuda.

WebKit

Gostaríamos de agradecer a Avi Lumelsky da Oligo Security, Uri Katz da Oligo Security, Braylon (@softwarescool), Eli Grey (eligrey.com), Johan Carlsson (joaxcar) e Numan Türle - Rıza Sabuncu pela ajuda.

Entrada adicionada em 28 de outubro de 2024

Wi-Fi

Gostaríamos de agradecer a Antonio Zekic (@antoniozekic), ant4g0nist e Tim Michaud (@TimGMichaud) da Moveworks.ai pela ajuda.

WindowServer

Gostaríamos de agradecer a Felix Kratz pela ajuda.

Entrada adicionada em 28 de outubro de 2024

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: 04 de novembro de 2024