2020-2499: macOS Big Sur: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2020-11-13 16:57)

Neues Advisory

Version 2 (2020-12-15 16:35)

Apple aktualisiert den referenzierten Sicherheitshinweis (bisher allerdings nur in der englischensprachigen Version), um zeitgleich mit der Veröffentlichung von macOS Big Sur 11.1 über weitere 27 Schwachstellen zu informieren, die ebenfalls mit macOS Big Sur 11.0.1 behoben wurden. Das Spektrum der Auswirkungen deckt sich mit denen der bereits zuvor bekanntgegebenen Schwachstellen.

Version 3 (2021-10-27 18:06)

Apple hat den Sicherheitshinweis HT211931 erneut aktualisiert und führt fünf weitere Schwachstellen als behoben auf. Mehrere dieser Schwachstellen ermöglichen einem Angreifer, der in einem Fall über niedrige Privilegien verfügen muss, lokal beliebigen Programmcode auszuführen und Informationen auszuspähen. Eine Schwachstelle bedarf der Interaktion eines Benutzers. Eine weitere Schwachstelle kann ein Angreifer mit niedrigen Privilegien aus der Ferne ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Apple

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, einen Cross-Site-Scripting (XSS)- und verschiedene Denial-of-Service (DoS)-Angriffe durchzuführen, falsche Informationen darzustellen und nicht spezifizierte Angriffe durchzuführen. Zudem kann ein Angreifer mehrere Schwachstellen lokal oder im benachbarten Netzwerk ausnutzen, um ebenfalls Informationen auszuspähen, Privilegien zu eskalieren, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode (teilweise mit den Rechten des Administrators) auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Apple veröffentlicht die neue Version des Betriebssystems macOS BigSur 10.16 und 11.0 für Mac Pro (2013 und später), MacBook Air (2013 und später), MacBook Pro (Ende 2013 und später), Mac mini (2014 und später), iMac (2014 und später), MacBook (2015 und später), iMac Pro (alle Modelle) und empfiehlt ein Update auf die Version 11.0.1, mit der weitere Schwachstellen behoben werden.

Schwachstellen:

CVE-2019-14899

Schwachstelle in Kernel ermöglicht Übernahme von VPN-Verbindungen

CVE-2019-20838

Schwachstelle in libpcre ermöglicht Denial-of-Service-Angriff

CVE-2020-10002

Schwachstelle in Foundation ermöglicht Ausspähen von Informationen

CVE-2020-10003

Schwachstelle in Crash Reporter ermöglicht Priviegieneskalation

CVE-2020-10004

Schwachstelle in Model I/O ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-10005

Schwachstelle in smbx ermöglicht Denial-of-Service-Angriff

CVE-2020-10006

Schwachstelle in Xsan ermöglicht Ausspähen von Informationen

CVE-2020-10007

Schwachstelle in Power Management ermöglicht Ausspähen von Informationen

CVE-2020-10008

Schwachstelle in TCC ermöglicht Ausspähen von Informationen

CVE-2020-10009

Schwachstelle in System Preferences ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-10010

Schwachstelle in Logging ermöglicht Privilegieneskalation

CVE-2020-10011 CVE-2020-13524

Schwachstellen in Model I/O ermöglichen u. a. Denial-of-Service-Angriff

CVE-2020-10012

Schwachstelle in Quick Look ermöglicht Cross-Site-Scripting-Angriff

CVE-2020-10014

Schwachstelle in libxpc ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-10015 CVE-2020-27897

Schwachstellen in Intel Graphics Driver ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-10016

Schwachstelle in Kernel ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-10017

Schwachstelle in CoreAudio ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-10663

Schwachstelle in Ruby ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-13434

Schwachstelle in SQLite ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2020-13435

Schwachstelle in SQLite ermöglicht Denial-of-Service-Angriff

CVE-2020-13630

Schwachstelle in SQLite ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2020-13631

Schwachstelle in SQLite ermöglicht Manipulation von Dateien

CVE-2020-14155

Schwachstelle in Perl-Compatible-Regular-Expression (PCRE) ermöglicht Denial-of-Service-Angriff

CVE-2020-15358

Schwachstelle in SQLite ermöglicht Denial-of-Service-Angriff

CVE-2020-27893

Schwachstelle in Screen Sharing Server ermöglicht Ausspähen von Informationen

CVE-2020-27894

Schwachstelle in Finder ermöglicht Ausspähen von Informationen

CVE-2020-27896

Schwachstelle in Python, Ruby ermöglicht Ausspähen von Informationen

CVE-2020-27898

Schwachstelle in Wi-Fi ermöglicht Denial-of-Service-Angriff

CVE-2020-27899

Schwachstelle in Symptom Framework ermöglicht Eskalation von Privilegien

CVE-2020-27900

Schwachstelle in NSRemoteView ermöglicht Ausspähen von Informationen

CVE-2020-27901

Schwachstelle in NSRemoteView ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-27903

Schwachstelle in App Store ermöglicht Eskalation von Privilegien

CVE-2020-27904

Schwachstelle in Kernel ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27906

Schwachstelle in Bluetooth ermöglicht Denial-of-Service-Angriff

CVE-2020-27907

Schwachstelle in Intel Graphics Driver ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27908 CVE-2020-27909 CVE-2020-9960

Schwachstellen in CoreAudio ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-27910

Schwachstelle in Audio ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27911

Schwachstelle in libxml2 ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-27912 CVE-2020-27923

Schwachstellen in ImageIO ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-27914 CVE-2020-27915

Schwachstellen in AMD ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-27916

Schwachstelle in Audio ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27917

Schwachstelle in libxml2 ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27918

Schwachstelle in WebKit ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27919

Schwachstelle in Image Processing ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27920

Schwachstelle in libxml2 ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27921

Schwachstelle in Kernel ermöglicht Ausführung beliebigen Programmcodes

CVE-2020-27922

Schwachstelle in CoreText ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27924

Schwachstelle in ImageIO ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27927

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27930

Schwachstelle in FontParser ermöglicht Ausführung beliebigen Programmcodes

CVE-2020-27931

Schwachstelle in FontParser ermöglicht Ausspähen von Informationen

CVE-2020-27932

Schwachstelle in Kernel ermöglicht Ausführung beliebigen Programmcodes mit erweiterten Privilegien

CVE-2020-27935

Schwachstelle in XNU ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-27937

Schwachstelle in Directory Utility ermöglicht Ausspähen von Informationen

CVE-2020-27942

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-27945

Schwachstelle in CFNetwork Cache ermöglicht Ausführen beliebigen Programmcode

CVE-2020-27950

Schwachstelle in Kernel ermöglicht Ausspähen von Informationen

CVE-2020-27952

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-29629

Schwachstelle in FontParser ermöglicht Ausspähen von Informationen

CVE-2020-9849

Schwachstelle in SQLite ermöglicht Ausspähen von Informationen

CVE-2020-9876

Schwachstelle in ImageIO ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2020-9883

Schwachstelle in CoreGraphics ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9897

Schwachstelle in CoreGraphics ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9941

Schwachstelle in Mail ermöglicht nicht spezifizierte Angriffe

CVE-2020-9942

Schwachstelle in Safari ermöglicht Darstellen falscher Informationen

CVE-2020-9943 CVE-2020-9944

Schwachstellen in Audio ermöglichen Ausspähen von Informationen

CVE-2020-9945

Schwachstelle in Safari ermöglicht Darstellen falscher Informationen

CVE-2020-9949

Schwachstelle in CoreCapture ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9955

Schwachstelle in ImageIO ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9956

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9962

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-9963

Schwachstelle in Quick Look ermöglicht Ausspähen von Informationen

CVE-2020-9965 CVE-2020-9966

Schwachstellen in Disk Images ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-9967

Schwachstelle in Kernel ermöglicht Denial-of-Service-Angriff

CVE-2020-9969

Schwachstelle in Sandbox ermöglicht Ausspähen von Informationen

CVE-2020-9971

Schwachstelle in libxpc ermöglicht Eskalation von Privilegien

CVE-2020-9974

Schwachstelle in Kernel ermöglicht Ausspähen von Informationen

CVE-2020-9975

Schwachstellen in Kernel ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-9977

Schwachstelle in Safari ermöglicht Ausspähen von Informationen

CVE-2020-9978

Schwachstelle in HomeKit ermöglicht Denial-of-Service-Angriff

CVE-2020-9988 CVE-2020-9989

Schwachstellen in Messages ermöglichen Ausspähen von Informationen

CVE-2020-9991

Schwachstelle in SQLite ermöglicht Denial-of-Service-Angriff

CVE-2020-9996

Schwachstelle in NetworkExtension ermöglicht Eskalation von Privilegien

CVE-2020-9999

Schwachstelle in CoreText ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-1755

Schwachstelle in Siri ermöglicht Ausspähen von Informationen

CVE-2021-1775

Schwachstelle in FontParser ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-1803

Schwachstelle in Sandbox ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.