Ein massives Update befasst sich mit der Breite des Produktportfolios des Computergiganten.
Apple hat 173 Patches in verschiedenen Produkten seines Hardware-Portfolios veröffentlicht, darunter für gefährliche Fehler in MacOS für Laptops und Desktops, iPhone, Apple TV und Apple Watch.
Das Update enthält auch einen Patch für die am Dienstag bekannt gewordenen Seitenkanal-Schwachstellen in Intel-Chips, die die Tür zu den Angriffsvektoren öffnen, die zusammen als "ZombieLoad" bezeichnet werden.
Besonders erwähnenswert in dem massiven Update ist ein Patch für vier Seitenkanal-Bugs, die den Mikrocode von MacOS Mojave 10.14.4 betreffen (CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 und CVE-2019-11091).
Diese wirken sich auf Ladeanschlüsse aus, füllen Puffer und speichern Puffer in Systemen mit Mikroprozessoren, die spekulative Ausführung verwenden. Sie stammen von Seitenkanal-Schwachstellen, die als Microarchitectural Data Sampling (MDS) bezeichnet werden und sich auf alle modernen Intel-Chips auswirken. Angreifer könnten die spekulative Ausführung nutzen, um möglicherweise sensible Daten aus der CPU eines Systems durchsickern zu lassen.
"Ein Angreifer mit lokalem Benutzerzugang, um möglicherweise die Offenlegung von Informationen über einen Seitenkanal zu ermöglichen", so der Apple-Berater. "Mehrere Probleme bei der Offenlegung von Informationen wurden teilweise durch die Aktualisierung des Mikrocodes und die Änderung des Betriebssystemplaners angegangen, um das System von den im Browser laufenden Web-Inhalten zu isolieren.
Die vier verschiedenen Angriffsvektoren werden als ZombieLoad, Fallout, RIDL (Rogue In-Flight Data Load) und Store-to-Leak Forwarding bezeichnet und wurden am Dienstag von einer Reihe von Sicherheitsforschern detailliert und öffentlich bekannt gegeben.
Um diese Probleme vollständig anzugehen, gibt es zusätzliche Opt-in-Minderungen, um Hyper-Threading zu deaktivieren und Mikrocode-basierte Minderungen für alle Prozesse standardmäßig zu aktivieren.
Apple hat außerdem eine Fülle von Patches für das iPhone 5s und später, das iPad Air und später sowie die sechste Generation des iPod touch herausgebracht.
Die schwerwiegendsten sind Fehler, die auch in der Apple Watch vorhanden sind. Dazu gehören Fehler im Kernel (CVE-2019-8605), die es einer bösartigen Anwendung erlauben würden, beliebigen Code mit Systemprivilegien auf einem Zielgerät auszuführen. Es handelt sich um ein "Use after Free"-Problem, das mit einer verbesserten Speicherverwaltung behoben wurde.
Ein weiterer gemeinsamer Fehler mit Apple Watch ist ein "use-after-free-Problem" im Mail Message Framework (CVE-2019-8613), das einem entfernten Angreifer die Ausführung von beliebigem Code erlauben würde. Und in MobileLockdown kann eine bösartige Anwendung möglicherweise dank eines Problems bei der Eingabevalidierung Root-Privilegien erlangen (CVE-2019-8637).
Ein weiterer Fehler, der mit Apple Watch (CVE-2019-8620) geteilt wird, würde es einem Gerät erlauben, passiv über seine Wi-Fi-MAC-Adresse verfolgt zu werden.
Abgesehen davon ist auch ein Logikproblem bei der Bildschirmsperre (CVE-2019-8599) interessant, das es einer Person mit physischem Zugang zu einem iOS-Gerät erlauben würde, die für iTunes verwendete E-Mail-Adresse zu sehen.
Ein Fehler bei der Eingabevalidierung (CVE-2019-8626) in der Mail-Funktion könnte inzwischen zu einer Dienstverweigerung führen. Ein Angreifer könnte dies ausnutzen, indem er dem Zielopfer eine böswillig gestaltete E-Mail-Nachricht sendet.
Andere Patches beheben Schwachstellen, die ausgenutzt werden könnten, um alles zu erreichen, von der Privilegieneskalation und dem Entkommen aus Sandboxen bis hin zum Überschreiben von Dateien und der Offenlegung von Informationen.
Apple hat auch mehrere Fehler in den Betriebssystemen gepatcht, die seine Macbooks und Desktops versorgen: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14.5 sind verwundbar. Alle Fehler sind in WebKit enthalten, und sie können alle durch die Verarbeitung von böswillig gestalteten Web-Inhalten ausgenutzt werden.
Ein Fehler ist eine "Out-of-Bounds"-Leseanfälligkeit (CVE-2019-8607); und es gibt auch 20 verschiedene Speicher-Korruptionsprobleme, die zu einer willkürlichen Codeausführung führen könnten. Apple hat keine weiteren Einzelheiten angegeben.
