2019-2277: Apple iCloud for Windows: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2019-11-01 13:46): Neues Advisory
Version 2 (2019-11-25 11:07): Apple aktualisiert den referenzierten Sicherheitshinweis HT210727 und gibt an, dass die Schwachstellen mit iCloud 10.8 für Windows behoben werden. Bisher war Version 11.0 als Sicherheitsupdate angegeben.

Betroffene Software

Netzwerk

Betroffene Plattformen

Microsoft

Beschreibung:

Mehrere Schwachstellen in den von Apple iCloud verwendeten Komponenten WebKit und WebKit Process Model erlauben einem entfernten, nicht authentisierten Angreifer beliebigen Programmcode zur Ausführung zu bringen. Eine Schwachstelle im Grafiktreiber erlaubt einem solchen Angreifer die Programmcodeausführung mit Systemprivilegien und dadurch eine komplette Kompromittierung des betroffenen Systems, allerdings muss ein Angreifer einen Benutzer dafür zur Installation und Verwendung einer manipulierten Anwendung verleiten. Zwei weitere Schwachstellen, die nur für iCloud für Windows 11.0 behoben werden, in libxslt und WebKit, ermöglichen dem Angreifer die Durchführung eines Cross-Site-Scripting (XSS)- oder Denial-of-Service (DoS)-Angriffs sowie eventuell eine weitere, nicht näher spezifizierte Einflussnahme.

Apple stellt die iCloud for Windows Version 7.15 als Sicherheitsupdate für Windows 7 und später bereit und gibt an, dass das Sicherheitsupdate iCloud for Windows 11.0 für Windows 10 und später über den Microsoft Store bezogen werden kann.

Schwachstellen:

CVE-2019-8710 CVE-2019-8766 CVE-2019-8782 CVE-2019-8783 CVE-2019-8811 CVE-2019-8814

Schwachstellen in WebKit ermöglichen Ausführung beliebigen Programmcodes

CVE-2019-8750

Schwachstellen in libxslt ermöglichen u. a. Denial-of-Service-Angriffe

CVE-2019-8784

Schwachstelle in Grafiktreiber ermöglicht komplette Systemübernahme

CVE-2019-8813

Schwachstelle in WebKit ermöglicht Cross-Site-Scripting-Angriff

CVE-2019-8815

Schwachstelle in WebKit Process Model ermöglicht Ausführung beliebigen Programmcodes

CVE-2019-8816 CVE-2019-8819 CVE-2019-8820 CVE-2019-8821 CVE-2019-8822 CVE-2019-8823