Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v macOS, iOS, iPadOS, Safari, watchOS, visionOS a tvOS kvôli zápisu mimo rozsah alokovanej pamäte v komponente WebKit pomocou sociálneho inžinierstva a špeciálne upraveného webového obsahu umožnené poškodiť dáta v pamäti [3][10].

Zraniteľnosť sa nachádza v produktoch:

• Apple macOS; <15.2;
• Apple iOS; <18.2;
• Apple iPadOS; <18.2;
• Apple Safari; <18.2;
• Apple watchOS; <11.2;
• Apple visionOS; <2.2;
• Apple tvOS; <18.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Viac informácií:

• CVE-2024-54534 na cve.org, NVD
• CWE-787: Out-of-bounds Write na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému vzdialenému útočníkovi je kvôli logickej chybe v komponente LaunchServices v macOS umožnené zvyšovať oprávnenia aplikácie [3][11].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; <15.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54465 na cve.org, NVD
• CWE-281: Improper Preservation of Permissions na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému vzdialenému útočníkovi je kvôli čítaniu mimo rozsah alokovanej pamäte v komponente IOMobileFrameBuffer v macOS umožnené spustiť kód vo firmvéri DCP, potenciálne vykonať DoS útok [3][12].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; <15.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54506 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému lokálnemu útočníkovi je kvôli logickej chybe v komponente Audio v macOS pomocou sociálneho inžinierstva umožnené spustiť kód s právami kernelu [3][13].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; >=13.0, <13.7.2; >=14.0, <14.7.2; >=15.0, <15.2

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54529 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému lokálnemu útočníkovi je v macOS umožnené uniknúť zo Sandboxu, čo môže viesť k neoprávnenému prístupu k systémovým zdrojom a používateľským údajom [3][14]. PoC exploit k zraniteľnosti je možné nájsť na [15].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; <13.7.2; >=14.0, <14.7.2; >=15.0, <15.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54498 na cve.org, NVD
• CWE-732: Incorrect Permission Assignment for Critical Resource na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému lokálnemu útočníkovi je v macOS, iOS, iPadOS, watchOS a tvOS pomocou sociálneho inžinierstva umožnené uniknúť zo Sandboxu, čo môže viesť k neoprávnenému prístupu k systémovým zdrojom a používateľským údajom [16][17].

Zraniteľnosť sa nachádza v produktoch:

• Apple macOS; >=13.0, <13.7.2; >=14.0, <14.7.2; >=15.0, <15.2;
• Apple iOS; <18.2;
• Apple iPadOS; <18.2;
• Apple watchOS; <11.2;
• Apple tvOS; <18.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54514 na cve.org, NVD
• CWE-CWE-693: Protection Mechanism Failure na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 1. 2025.

Neautentizovanému lokálnemu útočníkovi je v macOS umožnené získať práva root [3][18][19].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; >=13.0, <13.7.2; >=14.0, <14.7.2; >=15.0, <15.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-44224 na cve.org, NVD
• CVE-2024-44291 na cve.org, NVD
• CWE-269: Improper Privilege Management na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Neautentizovanému lokálnemu útočníkovi je v macOS umožnené obísť System Integrity Protection (SIP) a modifikovať chránené časti súborového systému, čo môže viesť až k úplnej kompromitácii systému [3][20][21]. Detailné informácie o zraniteľnosti sú k dispozícii na [21].

Zraniteľnosť sa nachádza v produkte:

• Apple macOS; >=15.0, <15.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Viac informácií:

• CVE-2024-44243 na cve.org, NVD
• CWE-266: Incorrect Privilege Assignment na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.

Autentizovanému lokálnemu útočníkovi je v macOS, iOS, iPadOS, watchOS a tvOS umožnené obísť ochranu TCC (Transparency, Consent, and Control) a získať prístup k citlivým používateľským údajom [3][22][23]. Detailné informácie a PoC exploit k zraniteľnosti sú k dispozícii na [23][24].

Zraniteľnosť sa nachádza v produktoch:

• Apple macOS; >=13.0, <13.7.2; >=14.0, <14.7.2; >=15.0, <15.2;
• Apple iOS; <18.2;
• Apple iPadOS; <18.2;
• Apple watchOS; <11.2;
• Apple tvOS; <18.2;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-54527 na cve.org, NVD
• CWE-276: Incorrect Default Permissions na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 12. 2024.