Apple多款产品漏洞安全风险通告

admin
admin
admin
138674
文章
114
评论
2022年12月15日10:24:59评论144 views字数 5210阅读17分22秒阅读模式
Apple多款产品漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。




安全通告



iOS、iPadOS、WatchOS、tvOS 、MacOS 系统均为美国苹果（Apple）公司所研发的操作系统，为苹果公司各类产品提供相关功能。


近日，奇安信CERT监测到Apple发布安全更新，修复以下漏洞：CVE-2022-46694、CVE-2022-42848、CVE-2022-42850、CVE-2022-42864、CVE-2022-46690、CVE-2022-46689、CVE-2022-46701、CVE-2022-42842、CVE-2022-42840等。鉴于以上漏洞影响范围极大且CVE-2022-42856存在在野利用，建议客户尽快做好自查及防护。


CVE编号

影响组件

是否远程未授权利用

CVSS

受影响版本

CVE-2022-46694

AppleAVD

是

8.8

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42842

Kernel

否

8.8

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-42848

AVEVideoEncoder

否

7.8

iOS < 16.1.2

iPadOS < 16.1.2

tvOS < 16.1.1

CVE-2022-42850

Graphics Driver

否

7.8

iOS < 16.2

iPadOS < 16.2

CVE-2022-46690

IOMobileFrameBuffer

否

7.8

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-42840

ppp

否

7.8

iOS < 16.2

iPadOS < 16.2

MacOS < 13.1

CVE-2022-46701

Kernel

是

7.5

iOS < 16.2

iPadOS < 16.2

tvOS < 16.1.1

CVE-2022-42864

IOHIDFamily

否

7.0

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-46689

Kernel

否

7.0

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-42845

Kernel

否

6.7

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42846

Graphics Driver

是

6.5

iOS < 16.2

iPadOS < 16.2

CVE-2022-46693

ImageIO

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42837

iTunes Store

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

CVE-2022-46695

Safari

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42867

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46691

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46692

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46696

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46700

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46699

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42863

WebKit

是

6.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42856

WebKit

是

6.3

Apple Safari < 16.1

tvOS < 16.1.1

iOS < 15.1

MacOS < 13.1

CVE-2022-42865

AppleMobileFileIntegrity

是

5.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42859

CoreServices

否

5.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

CVE-2022-42861

Kernel

否

5.3

iOS < 16.2

iPadOS < 16.2

CVE-2022-42844

Kernel

否

5.3

iOS < 16.2

iPadOS < 16.2

CVE-2022-42855

Preferences

否

5.3

iOS < 16.2

iPadOS < 16.2

tvOS < 16.1.1

CVE-2022-42862

Printing

否

5.3

iOS < 16.2

iPadOS < 16.2

CVE-2022-42849

Software Update

否

5.3

iOS < 16.2

iPadOS < 16.2

CVE-2022-42851

ImageIO

是

4.3

iOS < 16.1.2

iPadOS < 16.1.2

tvOS < 16.1.1

CVE-2022-42852

WebKit

是

4.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46698

WebKit

是

4.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42843

Accounts

否

3.5

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-46702

GPU Drivers

否

3.3

iOS < 16.2

iPadOS < 16.2

CVE-2022-42866

Weather

否

3.3

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-32943

Photos

否

2.4

iOS < 16.2

iPadOS < 16.2


值得关注的漏洞如下：


1.CVE-2022-46694

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-46694

公开状态

未公开

在野利用

未发现

漏洞描述

由于AppleAVD存在越界写入问题，当解析恶意制作的视频文件时可能会导致内核代码执行。

参考链接

https://support.apple.com/en-us/HT213530


2.CVE-2022-42848

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42848

公开状态

未公开

在野利用

未发现

漏洞描述

由于AVEVideoEncoder存在逻辑问题可导致应用程序以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


3.CVE-2022-42850

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42850

公开状态

未公开

在野利用

未发现

漏洞描述

由于Graphics Driver存在越界读写问题可导致应用程序以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


4.CVE-2022-42864

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42864

公开状态

未公开

在野利用

未发现

漏洞描述

由于IOHIDFamily存在条件竞争漏洞可导致应用程序以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


5.CVE-2022-46690

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-46690

公开状态

未公开

在野利用

未发现

漏洞描述

由于IOMobileFrameBuffer存在越界写入问题可导致应用程序以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


6.CVE-2022-46689

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-46689

公开状态

未公开

在野利用

未发现

漏洞描述

由于系统内核存在条件竞争问题可导致应用程序以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


7.CVE-2022-46701

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-46701

公开状态

未公开

在野利用

未发现

漏洞描述

由于系统内核存在越界读写问题可导致连接到恶意 NFS 服务器以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


8.CVE-2022-42842

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42842

公开状态

未公开

在野利用

未发现

漏洞描述

由于系统内核存在越界读写问题可导致代码执行。

参考链接

https://support.apple.com/en-us/HT213530


9.CVE-2022-42840

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42840

公开状态

未公开

在野利用

未发现

漏洞描述

由于PPP套件存在越界读写问题可导致应用以内核权限执行任意代码。

参考链接

https://support.apple.com/en-us/HT213530


10.CVE-2022-42856

漏洞名称

Apple多款产品代码执行漏洞

漏洞类型

代码执行

风险等级

高危

漏洞ID

CVE-2022-42840

公开状态

未公开

在野利用

已发现

漏洞描述

由于Webkit引擎存在类型混淆问题，当处理恶意制作的网页内容时可能会导致任意代码执行。

参考链接

https://support.apple.com/en-us/HT213537



受影响版本

CVE编号

受影响版本

CVE-2022-46694

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

CVE-2022-42848

iOS < 16.1.2

iPadOS < 16.1.2

tvOS < 16.1.1

CVE-2022-42850

iOS < 16.2

iPadOS < 16.2

CVE-2022-42864

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-46690

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-46689

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-46701

iOS < 16.2

iPadOS < 16.2

tvOS < 16.1.1

CVE-2022-42842

iOS < 16.1.2

iPadOS < 16.1.2

WatchOS < 9.1

tvOS < 16.1.1

MacOS < 13.1

CVE-2022-42840

iOS < 16.2

iPadOS < 16.2

MacOS < 13.1

CVE-2022-42856

Apple Safari < 16.1

tvOS < 16.1.1

iOS < 15.1

MacOS < 13.1



处置建议

目前苹果官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

https://support.apple.com/en-us/HT213530



参考资料

[1]https://support.apple.com/en-us/HT213530

[2]https://support.apple.com/en-us/HT213537



时间线

2022年12月14日，奇安信 CERT发布安全风险通告


点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

原文始发于微信公众号（奇安信 CERT）：Apple多款产品漏洞安全风险通告

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月15日10:24:59
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Apple多款产品漏洞安全风险通告https://cn-sec.com/archives/1465462.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息