Apple: Erster Sicherheitspatch für MacOS High Sierra 10.13.4 kommt
Einen Monat nach der Veröffentlichung der neuen Version 10.13.4 bekommt MacOS High Sierra ein erstes Sicherheitsupdate(öffnet im neuen Fenster) . Der Patch soll zwei kritische Sicherheitslücken adressieren, die durch korrumpierte Speicheradressierung und eine fehlerhafte Eingabevalidierung bei URLs hervorgerufen werden. Zum gleichen Zeitpunkt erhält der Safari-Browser 11.1 ebenfalls ein Update, um Fehler in Verbindung mit der HTML-Layout-Engine Webex zu beheben.
Das MacOS-Update adressiert ein Problem, das unter CVE-2018-4206(öffnet im neuen Fenster) bekannt ist. Apple beschreibt, dass durch korrumpierte Speicheradressierung eine Anwendung erweiterte Zuriffsrechte erhalten kann. Der Patch führt eine verbesserte Fehlerbehandlung ein, um dieses Vorgehen zu verhindern. Entdeckt wurde das Problem vom Entwickler Ian Beer, der für Googles Security-Team Project Zero arbeitet.
Das zweite Problem führt Apple unter CVE-2018-4187(öffnet im neuen Fenster) . Darüber konnten Angreifer UI Spoofing – also das Vorgaukeln angezeigter Informationen – vornehmen, indem eine bösartige Textdatei vom System eingelesen und verarbeitet wird. Diese werden anscheinend über URLs an Nutzer verteilt, denn Apple adressiert das Problem mit einer angepassten Eingabevalidierung von URLs. Tencent-Mitarbeiter Zhiyang Zeng hat die Lücke entdeckt.
Speicherfehler auch bei Webkit in Verbindung mit Safari 11.1
Das Update für Safari 11.1(öffnet im neuen Fenster) , das unter High Sierra 13605.1.33.1.4 heißt, behebt ebenfalls eine korrumpierte Speicheradressierung der Software. CVE-2018-4200(öffnet im neuen Fenster) wurde von Project-Zero-Entwickler Ivan Fratric entdeckt und ermöglicht die ungewollte Ausführung von Code auf dem Rechner, wenn sich Nutzer auf böswillig entwickelten Webseiten aufhalten. Safari wird in Zukunft eine verbesserte Statusverwaltung des Speichers haben, um diesen Fehler zu beheben.
Einen ähnlichen Bug beschreibt Apple mit CVE-2018-2404(öffnet im neuen Fenster) , entdeckt von Trend-Micro-Entwickler Richard Zou. Damit konnte ebenfalls ungewollt Code ausgeführt werden. Eine verbesserte Speicherverwaltung soll diese Lücke beheben.