天天热点！Apple多款产品漏洞安全风险通告
iOS、iPadOS、WatchOS、tvOS 、MacOS 系统均为美国苹果（Apple）公司所研发的操作系统，为苹果公司各类产品提供相关功能。
(资料图)
近日，奇安信CERT监测到Apple发布安全更新，修复以下漏洞：CVE-2022-46694、CVE-2022-42848、CVE-2022-42850、CVE-2022-42864、CVE-2022-46690、CVE-2022-46689、CVE-2022-46701、CVE-2022-42842、CVE-2022-42840等。鉴于以上漏洞影响范围极大，且CVE-2022-42856存在在野利用，建议客户尽快做好自查及防护。
CVE编号 | 影响组件 | 是否远程未授权利用 | CVSS | 受影响版本 |
CVE-2022-46694 | AppleAVD | 是 | 8.8 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42842 | Kernel | 否 | 8.8 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-42848 | AVEVideoEncoder | 否 | 7.8 | iOS < 16.1.2 iPadOS < 16.1.2 tvOS < 16.1.1 |
CVE-2022-42850 | Graphics Driver | 否 | 7.8 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-46690 | IOMobileFrameBuffer | 否 | 7.8 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-42840 | ppp | 否 | 7.8 | iOS < 16.2 iPadOS < 16.2 MacOS < 13.1 |
CVE-2022-46701 | Kernel | 是 | 7.5 | iOS < 16.2 iPadOS < 16.2 tvOS < 16.1.1 |
CVE-2022-42864 | IOHIDFamily | 否 | 7.0 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-46689 | Kernel | 否 | 7.0 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-42845 | Kernel | 否 | 6.7 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42846 | Graphics Driver | 是 | 6.5 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-46693 | ImageIO | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42837 | iTunes Store | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 |
CVE-2022-46695 | Safari | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42867 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46691 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46692 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46696 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46700 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46699 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42863 | WebKit | 是 | 6.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42856 | WebKit | 是 | 6.3 | Apple Safari < 16.1 tvOS < 16.1.1 iOS < 15.1 MacOS < 13.1 |
CVE-2022-42865 | AppleMobileFileIntegrity | 是 | 5.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42859 | CoreServices | 否 | 5.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 |
CVE-2022-42861 | Kernel | 否 | 5.3 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42844 | Kernel | 否 | 5.3 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42855 | Preferences | 否 | 5.3 | iOS < 16.2 iPadOS < 16.2 tvOS < 16.1.1 |
CVE-2022-42862 | Printing | 否 | 5.3 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42849 | Software Update | 否 | 5.3 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42851 | ImageIO | 是 | 4.3 | iOS < 16.1.2 iPadOS < 16.1.2 tvOS < 16.1.1 |
CVE-2022-42852 | WebKit | 是 | 4.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46698 | WebKit | 是 | 4.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42843 | Accounts | 否 | 3.5 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-46702 | GPU Drivers | 否 | 3.3 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42866 | Weather | 否 | 3.3 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-32943 | Photos | 否 | 2.4 | iOS < 16.2 iPadOS < 16.2 |
值得关注的漏洞如下：
1.CVE-2022-46694
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-46694 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于AppleAVD存在越界写入问题，当解析恶意制作的视频文件时可能会导致内核代码执行。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
2.CVE-2022-42848
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42848 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于AVEVideoEncoder存在逻辑问题可导致应用程序以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
3.CVE-2022-42850
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42850 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于Graphics Driver存在越界读写问题可导致应用程序以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
4.CVE-2022-42864
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42864 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于IOHIDFamily存在条件竞争漏洞可导致应用程序以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
5.CVE-2022-46690
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-46690 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于IOMobileFrameBuffer存在越界写入问题可导致应用程序以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
6.CVE-2022-46689
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-46689 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于系统内核存在条件竞争问题可导致应用程序以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
7.CVE-2022-46701
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-46701 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于系统内核存在越界读写问题可导致连接到恶意 NFS 服务器以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
8.CVE-2022-42842
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42842 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于系统内核存在越界读写问题可导致代码执行。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
9.CVE-2022-42840
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42840 |
公开状态 | 未公开 | 在野利用 | 未发现 | ||
漏洞描述 | 由于PPP套件存在越界读写问题可导致应用以内核权限执行任意代码。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213530 | |||||
10.CVE-2022-42856
漏洞名称 | Apple多款产品代码执行漏洞 | ||||
漏洞类型 | 代码执行 | 风险等级 | 高危 | 漏洞ID | CVE-2022-42840 |
公开状态 | 未公开 | 在野利用 | 已发现 | ||
漏洞描述 | 由于Webkit引擎存在类型混淆问题，当处理恶意制作的网页内容时可能会导致任意代码执行。 | ||||
参考链接 | |||||
https://support.apple.com/en-us/HT213537 | |||||
受影响版本
CVE编号 | 受影响版本 |
CVE-2022-46694 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 |
CVE-2022-42848 | iOS < 16.1.2 iPadOS < 16.1.2 tvOS < 16.1.1 |
CVE-2022-42850 | iOS < 16.2 iPadOS < 16.2 |
CVE-2022-42864 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-46690 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-46689 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-46701 | iOS < 16.2 iPadOS < 16.2 tvOS < 16.1.1 |
CVE-2022-42842 | iOS < 16.1.2 iPadOS < 16.1.2 WatchOS < 9.1 tvOS < 16.1.1 MacOS < 13.1 |
CVE-2022-42840 | iOS < 16.2 iPadOS < 16.2 MacOS < 13.1 |
CVE-2022-42856 | Apple Safari < 16.1 tvOS < 16.1.1 iOS < 15.1 MacOS < 13.1 |
处置建议
目前苹果官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。
https://support.apple.com/en-us/HT213530
参考资料
[1]https://support.apple.com/en-us/HT213530
[2]https://support.apple.com/en-us/HT213537
相关阅读
-
天天热点！Apple多款产品漏洞安全风险通告
iOS、iPadOS、WatchOS、tvOS、MacOS系统均为美国苹果（Apple）公司... -
全球速读：FBI审查信息共享网络“InfraG...
12月10日，一个包含87,000多名美国联邦调查局（FBI）审查信息共享网... -
2023年数字政府关键技术与投资热点
数字政府技术正在推动全球范围内公民服务和社会治理的一次重大变革... -
天天热头条丨中国IT统一运维软件市场报...
IDC最新发布的《中国IT统一运维软件产品市场跟踪报告，2022年上半年... -
披露：新型Go语言编写的DDoS僵尸网络RedGoBot
概述2022年11月底，奇安信威胁情报中心监测到一起未知家族恶意样本... -
谁是渗透工具之王？Sliver还是CobaltStrike
简介CobaltStrike，曾经的渗透工具之王，正在受到新兴工具Sliver的...
