Sobre o conteúdo de segurança do macOS Ventura 13.7.1
Este documento descreve o conteúdo de segurança do macOS Ventura 13.7.1.
Sobre as atualizações de segurança da Apple
Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página de versões de segurança da Apple.
Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.
Para obter mais informações sobre segurança, consulte a página Segurança do produto Apple
Sobre o conteúdo de segurança do macOS Ventura 13.7.1
Lançamento: 28 de outubro de 2024
App Support
Disponível para: macOS Ventura
Impacto: um app mal-intencionado pode executar atalhos arbitrários sem o consentimento do usuário
Descrição: um problema de processamento de caminhos foi resolvido por meio de melhorias na lógica.
CVE-2024-44255: pesquisador anônimo
AppleAVD
Disponível para: macOS Ventura
Impacto: analisar um arquivo de vídeo criado com códigos maliciosos pode levar ao encerramento inesperado do sistema
Descrição: o problema foi resolvido por meio de melhorias nas verificações de limites.
CVE-2024-44232: Ivan Fratric do Google Project Zero
CVE-2024-44233: Ivan Fratric do Google Project Zero
CVE-2024-44234: Ivan Fratric do Google Project Zero
Entrada adicionada em 1° de novembro de 2024
AppleMobileFileIntegrity
Disponível para: macOS Ventura
Impacto: um processo em área restrita pode contornar restrições dessa área
Descrição: um problema de lógica foi resolvido por meio de melhorias na validação.
CVE-2024-44270: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
Disponível para: macOS Ventura
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: um problema de downgrade que afeta computadores Mac com processador Intel foi resolvido por meio de restrições adicionais de assinatura de código.
CVE-2024-44280: Mickey Jin (@patch1t)
ARKit
Disponível para: macOS Ventura
Impacto: processar um arquivo criado com códigos maliciosos pode causar o corrompimento do heap
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44126: Holger Fuhrmannek
Assets
Disponível para: macOS Ventura
Impacto: um app malicioso com privilégios raiz pode modificar o conteúdo dos arquivos do sistema
Descrição: o problema foi resolvido por meio da remoção do código vulnerável.
CVE-2024-44260: Mickey Jin (@patch1t)
CoreServicesUIAgent
Disponível para: macOS Ventura
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: esse problema foi resolvido por meio de verificações adicionais de direitos.
CVE-2024-44295: pesquisador anônimo
CoreText
Disponível para: macOS Ventura
Impacto: processar uma fonte criada com códigos maliciosos pode causar a divulgação da memória de processo
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44240: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
CVE-2024-44302: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
CUPS
Disponível para: macOS Ventura
Impacto: um invasor em uma posição de rede privilegiada pode causar o vazamento de informações confidenciais do usuário
Descrição: havia um problema na análise de URLs. Esse problema foi resolvido por meio de melhorias na validação de entradas.
CVE-2024-44213: Alexandre Bedard
DiskArbitration
Disponível para: macOS Ventura
Impacto: um app em sandbox pode ter acesso a dados confidenciais de usuários
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-40855: Csaba Fitzl (@theevilbit) de Kandji
Buscar
Disponível para: macOS Ventura
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.
CVE-2024-44289: Kirin (@Pwnrin)
Foundation
Disponível para: macOS Ventura
Impacto: a análise de um arquivo pode causar a divulgação de informações do usuário
Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na validação de entradas.
CVE-2024-44282: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
Game Controllers
Disponível para: macOS Ventura
Impacto: um invasor com acesso físico pode inserir eventos do Game Controller em apps em execução em um dispositivo bloqueado
Descrição: o problema foi resolvido por meio da restrição das opções oferecidas em um dispositivo bloqueado.
CVE-2024-44265: Ronny Stiftel
ImageIO
Disponível para: macOS Ventura
Impacto: processar uma imagem pode resultar na divulgação da memória de processamento
Descrição: esse problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44215: Junsung Lee em parceria com a Zero Day Initiative da Trend Micro
ImageIO
Disponível para: macOS Ventura
Impacto: o processamento de uma mensagem de criada de maneira mal-intencionada pode levar a uma negação de serviço
Descrição: o problema foi resolvido por meio de melhorias nas verificações de limites.
CVE-2024-44297: Jex Amro
Installer
Disponível para: macOS Ventura
Impacto: um app pode conseguir acessar dados confidenciais do usuário
Descrição: um problema de acesso foi resolvido por meio de outras restrições.
CVE-2024-44216: Zhongquan Li (@Guluisacat)
Installer
Disponível para: macOS Ventura
Impacto: um aplicativo malicioso pode modificar áreas protegidas do sistema de arquivos
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44287: Mickey Jin (@patch1t)
IOGPUFamily
Disponível para: macOS Ventura
Impacto: um app mal-intencionado pode causar uma negação de serviço
Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.
CVE-2024-44197: Wang Yu of Cyberserval
Kernel
Disponível para: macOS Ventura
Impacto: um app pode causar vazamento de estados confidenciais do kernel
Descrição: um problema de divulgação de informações foi resolvido com a redação aprimorada de dados privados para entradas de registro.
CVE-2024-44239: Mateusz Krzywicki (@krzywix)
LaunchServices
Disponível para: macOS Ventura
Impacto: um aplicativo pode conseguir sair de sua área de proteção
Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.
CVE-2024-44122: pesquisador anônimo
Maps
Disponível para: macOS Ventura
Impacto: um app pode conseguir ler informações confidenciais de localização
Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.
CVE-2024-44222: Kirin (@Pwnrin)
Messages
Disponível para: macOS Ventura
Impacto: um app pode conseguir sair de sua área restrita
Descrição: o problema foi resolvido por meio de melhorias na limpeza de entradas.
CVE-2024-44256: Mickey Jin (@patch1t)
PackageKit
Disponível para: macOS Ventura
Impacto: um app pode ignorar as preferências de Privacidade
Descrição: uma vulnerabilidade de exclusão de caminho foi resolvida impedindo que o código vulnerável fosse executado com privilégios.
CVE-2024-44156: Arsenii Kostromin (0x3c3e)
CVE-2024-44159: Mickey Jin (@patch1t)
PackageKit
Disponível para: macOS Ventura
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.
CVE-2024-44196: Csaba Fitzl (@theevilbit) de Kandji
PackageKit
Disponível para: macOS Ventura
Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44253: Mickey Jin (@patch1t) e Csaba Fitzl (@theevilbit) da Kandji
PackageKit
Disponível para: macOS Ventura
Impacto: um aplicativo malicioso pode modificar áreas protegidas do sistema de arquivos
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44247: Un3xploitable da CW Research Inc
CVE-2024-44267: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable da CW Research Inc, Pedro Tôrres (@t0rr3sp3dr0)
CVE-2024-44301: Bohdan Stasiuk (@Bohdan_Stasiuk), Un3xploitable da CW Research Inc, Pedro Tôrres (@t0rr3sp3dr0)
CVE-2024-44275: Arsenii Kostromin (0x3c3e)
PackageKit
Disponível para: macOS Ventura
Impacto: um invasor com privilégios raiz pode apagar arquivos de sistema protegidos
Descrição: uma vulnerabilidade de exclusão de caminho foi resolvida impedindo que o código vulnerável fosse executado com privilégios.
CVE-2024-44294: Mickey Jin (@patch1t)
Screen Capture
Disponível para: macOS Ventura
Impacto: um invasor com acesso físico pode ser capaz de compartilhar itens a partir da tela bloqueada
Descrição: o problema foi resolvido por meio de melhorias nas verificações.
CVE-2024-44137: Halle Winkler, Politepix @hallewinkler
Shortcuts
Disponível para: macOS Ventura
Impacto: um app pode conseguir acessar dados confidenciais do usuário
Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.
CVE-2024-44254: Kirin (@Pwnrin)
Shortcuts
Disponível para: macOS Ventura
Impacto: um app mal-intencionado pode usar atalhos para acessar arquivos restritos
Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.
CVE-2024-44269: pesquisador anônimo
sips
Disponível para: macOS Ventura
Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps
Descrição: um problema de acesso fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2024-44236: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
CVE-2024-44237: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
sips
Disponível para: macOS Ventura
Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps
Descrição: um problema de gravação fora dos limites foi resolvido por meio de melhorias na validação de entradas.
CVE-2024-44284: Junsung Lee, dw0r! em parceria com a Zero Day Initiative da Trend Micro
sips
Disponível para: macOS Ventura
Impacto: a análise de um arquivo pode causar a divulgação de informações do usuário
Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na validação de entradas.
CVE-2024-44279: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
CVE-2024-44281: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
sips
Disponível para: macOS Ventura
Impacto: processar um arquivo criado com códigos maliciosos pode causar o encerramento inesperado de apps
Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na verificação de limites.
CVE-2024-44283: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro
Siri
Disponível para: macOS Ventura
Impacto: um app em sandbox pode ter acesso a dados confidenciais de usuários nos registros do sistema.
Descrição: um problema de divulgação de informações foi resolvido com a redação aprimorada de dados privados para entradas de registro.
CVE-2024-44278: Kirin (@Pwnrin)
SystemMigration
Disponível para: macOS Ventura
Impacto: um app mal-intencionado pode criar links simbólicos para regiões protegidas do disco
Descrição: esse problema foi resolvido por meio de melhorias na validação de links simbólicos.
CVE-2024-44264: Mickey Jin (@patch1t)
WindowServer
Disponível para: macOS Ventura
Impacto: um app pode conseguir acessar dados confidenciais do usuário
Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.
CVE-2024-44257: Bohdan Stasiuk (@Bohdan_Stasiuk)
Outros reconhecimentos
NetworkExtension
Gostaríamos de agradecer a Patrick Wardle, da DoubleYou & da Objective-See Foundation, pela ajuda.
Segurança
Gostaríamos de agradecer a Bing Shi, Wenchao Li e Xiaolong Bai do Alibaba Group pela ajuda.
Spotlight
Gostaríamos de agradecer a Paulo Henrique Batista Rosa de Castro (@paulohbrc) pela ajuda.
As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.