image

Apple dicht zerodays ook in Mojave en High Sierra, patch voor Big Sur

zondag 15 november 2020, 09:05 door Redactie, 18 reacties

Drie actief aangevallen zerodaylekken die Apple op 5 november in iOS en macOS Catalina verhielp zijn een week later ook in macOS Mojave en High Sierra verholpen. Daarnaast heeft Apple een beveiligingsupdate uitgebracht voor het deze week gelanceerde macOS Big Sur.

De zerodaylekken, CVE-2020-27930, CVE-2020-27932 en CVE-2020-27950, werden door Google ontdekt en tegen iPhone-gebruikers ingezet. CVE-2020-27930 betreft een kwetsbaarheid in de FontParser van het besturingssysteem. Het beveiligingslek zorgt ervoor dat door het verwerken van een speciaal geprepareerd font een aanvaller willekeurige code op het systeem kan uitvoeren. Via CVE-2020-27950 is het mogelijk voor een kwaadaardige applicatie om het kernelgeheugen uit te lezen, terwijl een kwaadaardige applicatie door middel van CVE-2020-27932 willekeurige code met kernelrechten kan uitvoeren.

Op 5 november kwam Apple met de macOS Catalina 10.15.7 Supplemental Update en macOS Catalina 10.15.7 Update waarmee de kwetsbaarheden werden verholpen. Gebruikers van macOS Mojave en High Sierra moesten het zonder update doen. Die is nu een week later uitgekomen. Security Update 2020-006 High Sierra en Security Update 2020-006 Mojave verhelpen de drie eerder genoemde zerodaylekken. De update is via de updatefunctie van macOS te downloaden.

Voor macOS-gebruikers die afgelopen donderdag op Big Sur overstapten, de nieuwste versie van Apples desktopbesturingssysteem, is ook een beveiligingsupdate verschenen. MacOS Big Sur 11.0.1 verhelpt in totaal zestig kwetsbaarheden waardoor een aanvaller in het ergste geval het systeem had kunnen overnemen. Door het verwerken van een kwaadaardig audiobestand, font, pdf-document, USD-bestand, webcontent of afbeelding is het mogelijk voor een aanvaller om op kwetsbare systemen willekeurige code uit te voeren. Big Sur 11.0.1 is te downloaden via de updatefunctie.

Reacties (18)
15-11-2020, 10:23 door Anoniem
Waarom heet dat systeem eigenlijk Big Sur?
Ik neem aan dat dit een afkorting is voor Big Surveillance?
Want dat is wel de functionaliteit die is toegevoegd... alles wat je op je machine doet wordt naar Apple gestuurd en
dat kun je niet blokkeren met een firewall die je zelf installeert op de machine.
(wel met een router natuurlijk maar in een router is het veel lastiger om het telemetrie verkeer te isoleren)
15-11-2020, 12:10 door Briolet
Door Anoniem: Waarom heet dat systeem eigenlijk Big Sur?

Nadat Apple de namen van allerlei katachtigen gebruikte voor OS betitelingen van hun OS10 versies, zijn ze na "Mountain Lion" overgestapt op markante plekken in Californië. Big Sur is een dunbevolkte regio in Californië.
15-11-2020, 12:11 door MathFox
Big Sur:
Uit https://nl.wikipedia.org/wiki/Big_Sur_(Californi%C3%AB):
Big Sur is een dunbevolkt gebied (minder dan 1500 inwoners) aan de Californische kust waar de Santa Lucia Range abrupt vanuit de Grote Oceaan oprijst. De geologische ligging biedt schitterende vergezichten en is een toeristische trekpleister
15-11-2020, 13:05 door Anoniem
Door Anoniem: Waarom heet dat systeem eigenlijk Big Sur?
Ik neem aan dat dit een afkorting is voor Big Surveillance?

Ik vind hem leuk bedacht haha
15-11-2020, 13:11 door Anoniem
Big Sur 11.0.1 is te downloaden via de updatefunctie.
Gisteren bemerkte ik opeens dat het nummer v/d versie 11.0.1 betrof en niet 11.0.0 (zoals je zou verwachten)
Nu lees ik hier dat het om een nieuwe update gaat.
15-11-2020, 14:20 door Anoniem
Door Anoniem:
Door Anoniem: Waarom heet dat systeem eigenlijk Big Sur?
Ik neem aan dat dit een afkorting is voor Big Surveillance?

Ik vind hem leuk bedacht haha

Helaas dat de naam in dit geval toepasselijk is. En op een behoorlijk aggressieve manier. Bezitters van een dure macBook zitten met een draak van een OS die hen bespioneert. Helaas valt het (niet te controleren) datavespreiden niet onder de noemer 'kwetsbaarheid'.

Apple lacht het hardst.
15-11-2020, 14:36 door Anoniem
Viel mij op dat veel van de patches in MacOS 11.0.1 nu ineens achteraf ook in iOS / iPadOS 14.0 blijken te zitten, achteraf ingevoegd op https://support.apple.com/en-us/HT211850, 'Entry added November 12, 2020'.
15-11-2020, 14:39 door Anoniem
Door Anoniem:
Big Sur 11.0.1 is te downloaden via de updatefunctie.
Gisteren bemerkte ik opeens dat het nummer v/d versie 11.0.1 betrof en niet 11.0.0 (zoals je zou verwachten)
Nu lees ik hier dat het om een nieuwe update gaat.

11.0.0 is alleen op de nieuwe MacBook met ARM processor geïnstalleerd, die is nooit voor Intel uitgekomen.
15-11-2020, 16:44 door [Account Verwijderd] - Bijgewerkt: 15-11-2020, 16:55
Het is al lang geleden dat ik Mac Os gebruikte (voorheen OSX nu weer Mac Os ) en heb het altijd alleen maar lastig gevonden dat gedoe met die namen.
Als ik het had over v.10.2 kreeg ik terug: "Je bedoelt Jaguar?"
Dan altijd even denken (knars-knars): 'ik dacht dat het Tiger heette?'
(Zelfs nu moest ik het even opzoeken. Ja, v.10.2 was Jaguar)

Nu in Linux kan ik ook niet wennen aan dat mijns inziens rare gedoe met al die koosnaampjes; zo noem ik ze maar.
Ubuntu? ook die bijnamen tic.... v.18.1 is iets met een 'aardvarken' dacht ik.
De versie Linux (19.1..... dat beklijft wel) die ik nu gebruik heet dus Tessa. (ook weer opzoeken) Maar dat gaat bij mij dus toch het ene oor in en linea-recta het andere uit, want vanavond weet ik het al niet meer.

Hm hm... het zal wel....

Goed onthouden! Piet gebruikt Tessa :-)

(Straks krijg ik de me-too beweging nog achter mij aan)
15-11-2020, 16:49 door Anoniem
Door Piet Slagwerker:
Goed onthouden! Piet gebruikt Tessa :-)

Dit heb ik dus met Windows: 2003 was een server, maar Windows 10 versie 2004 bestaat nu ook. Schiet mij lek, want dat is dus uit 2020, maand 4.

Gelukkig is het nog altijd beter dan al die huidhoudapparatuur fabrikanten, die met xxxx9 dan bedoelen dat het uit jaar xxx5 komt of intel die met i7 en i9's zit waar een i7 beter kan zijn dan een i9.
15-11-2020, 16:54 door [Account Verwijderd] - Bijgewerkt: 15-11-2020, 16:58
Oh oh... Big Sur..... Big Surveillance. Dát gaat nog een eigen leven leiden.
De naam: Katholieke Universiteit Tilburg was er ook zo een, maar gelukkig zag men deze blunder nog op tijd voordat er tienduizenden, indertijd nog guldens, waren vergooid aan publiciteitsmateriaal met deze naam.

Neen dit is niet leuk. En feitelijk eens een helder signaal naar softwareontwikkelaars om eens op te houden met die naamgeverij en gewoon terug te gaan naar versienummers.
15-11-2020, 18:48 door Anoniem
Door Piet Slagwerker: Het is al lang geleden dat ik Mac Os gebruikte (voorheen OSX nu weer Mac Os ) en heb het altijd alleen maar lastig gevonden dat gedoe met die namen.
Namen zijn het probleem niet, wel de Windows-upgrades die je betalen moet, maar dat niet geldt bij Apple.
15-11-2020, 19:47 door [Account Verwijderd]
Door Anoniem:
Door Piet Slagwerker:
Goed onthouden! Piet gebruikt Tessa :-)

Dit heb ik dus met Windows: 2003 was een server, maar Windows 10 versie 2004 bestaat nu ook. Schiet mij lek, want dat is dus uit 2020, maand 4.

Gelukkig is het nog altijd beter dan al die huidhoudapparatuur fabrikanten, die met xxxx9 dan bedoelen dat het uit jaar xxx5 komt of intel die met i7 en i9's zit waar een i7 beter kan zijn dan een i9.

Er zit ook feitelijk vaak totaal geen logica in. Waarom fabrikanten dat doen? Ik kan er de vinger niet op leggen. Iets heel anders en dus echt off-topic is de ondoorzichtelijkheid die (vul)pen fabrikant Parker schept met zijn inmiddels al dertig jaar oude model Sonnet. D.m.v. een code onder naast de klip op de dop kun je achterhalen van welk jaar het ding is. Ik heb er nooit ook maar een snipper van begrepen. "Zet toch gewoon het jaartal op dat ding" denk ik dan.
16-11-2020, 00:57 door Anoniem
Surveillance? Schapen die schapen napraten. Dit is een security forum. Doe onderzoek.

https://blog.jacopo.io/en/post/apple-ocsp/
16-11-2020, 04:29 door Anoniem
Door Piet Slagwerker: ...
Nu in Linux kan ik ook niet wennen aan dat mijns inziens rare gedoe met al die koosnaampjes; zo noem ik ze maar.
Ubuntu? ook die bijnamen tic.... v.18.1 is iets met een 'aardvarken' dacht ik.
De versie Linux (19.1..... dat beklijft wel) die ik nu gebruik heet dus Tessa. (ook weer opzoeken) Maar dat gaat bij mij dus toch het ene oor in en linea-recta het andere uit, want vanavond weet ik het al niet meer.
...

Piet, versienummers werken blijkbaar bij jou ook niet helemaal. Er bestaat n.l. geen Ubuntu 18.1 of 19.1. Wel 18.10 en 19.10
Ubuntu versies worden met jj.mm aangeduid en altijd de vierde en de tiende maand, met uitzondering van 6.06 waar ze 2 maanden hebben gewacht met het uitbrengen van de distributie.
16-11-2020, 11:16 door Anoniem
Als je Big Sur hardop uitspreek is het net Big Sewer wat dan weer groot riool betekend.
16-11-2020, 18:18 door Anoniem
Surveillance onder het mom van veiligheid: Precies datgeen wat overheden ons voorliegen, dus onbetrouwbaar. Apple's OCSP is een debiel moloch wat slechts opt-in dient te zijn voor digibeten en degenen die geen moeite in beveiliging (malwarescanners, ed) willen steken.

Dit is een directe minachting voor de eindgebruiker en dit OS is wat mij betreft definitief gedegradeerd tot veredelde malware. Oncontroleerbaar: goed genoeg voor een telefoon of tablet, maar niet waard om te gebruiken op échte hardware. Zonde van die mooie krachtige MacBooks...
16-11-2020, 20:07 door unweit
Door Anoniem: Surveillance onder het mom van veiligheid: Precies datgeen wat overheden ons voorliegen, dus onbetrouwbaar. Apple's OCSP is een debiel moloch wat slechts opt-in dient te zijn voor digibeten en degenen die geen moeite in beveiliging (malwarescanners, ed) willen steken.

Dit is een directe minachting voor de eindgebruiker en dit OS is wat mij betreft definitief gedegradeerd tot veredelde malware. Oncontroleerbaar: goed genoeg voor een telefoon of tablet, maar niet waard om te gebruiken op échte hardware. Zonde van die mooie krachtige MacBooks...

Beste Anoniem, als ik zo lees wat u kennelijk vindt van onze overheden begrijp ik eigenlijk niet waarom u nog digitaal aanwezig wilt of - zo u wilt - kunt zijn. Want - wederom volgens uw eigen tekst - houdt u zich dan slecht bezig met een debiele moloch, oncontrolkeerbaar en niet waard om te gebruiken op echte hardware.
Daarom zou ik u willen adviseren: doe uzelf dit niet aan, bespaar u daarmee deze ellende en ons uw commentaar!
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.