大工网安告[2022]050
一、情况分析
近期Apple发布安全更新，修复以下漏洞：CVE-2022-46694、CVE-2022-42848、CVE-2022-42850、CVE-2022-42864、CVE-2022-46690、CVE-2022-46689、CVE-2022-46701、CVE-2022-42842、CVE-2022-42840等。鉴于以上漏洞影响范围极大且CVE-2022-42856存在在野利用，建议师生及时做好资产自查以及预防工作，以免遭受黑客攻击。
重点漏洞
1.CVE-2022-46694
该漏洞是由于AppleAVD存在越界写入问题，当解析恶意制作的视频文件时可能会导致内核代码执行。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
2.CVE-2022-42848
该漏洞是由于AVEVideoEncoder存在逻辑问题可导致应用程序以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
3.CVE-2022-42850
该漏洞由于Graphics Driver存在越界读写问题可导致应用程序以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
4.CVE-2022-42864
该漏洞由于IOHIDFamily存在条件竞争漏洞可导致应用程序以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
5.CVE-2022-46690
该漏洞由于IOMobileFrameBuffer存在越界写入问题可导致应用程序以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
6.CVE-2022-46689
该漏洞由于系统内核存在条件竞争问题可导致应用程序以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
7.CVE-2022-46701
该漏洞由于系统内核存在越界读写问题可导致连接到恶意NFS 服务器以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
8.CVE-2022-42842
该漏洞由于系统内核存在越界读写问题可导致代码执行。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
9.CVE-2022-42840
该漏洞由于PPP套件存在越界读写问题可导致应用以内核权限执行任意代码。该漏洞等级为高危，目前苹果公司暂未公开漏洞细节，未发现在野利用案例。
10.CVE-2022-42856
该漏洞由于Webkit引擎存在类型混淆问题，当处理恶意制作的网页内容时可能会导致任意代码执行。目前苹果公司暂未公开漏洞细节，已发现在野利用案例。
二、影响范围
CVE编号 |
影响组件 |
是否远程未授权利用 |
受影响版本 |
CVE-2022-46694 |
AppleAVD |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42842 |
Kernel |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
MacOS < 13.1 |
CVE-2022-42848 |
AVEVideoEncoder |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
tvOS < 16.1.1 |
CVE-2022-42850 |
Graphics Driver |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-46690 |
IOMobileFrameBuffer |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
MacOS < 13.1 |
CVE-2022-42840 |
ppp |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
MacOS < 13.1 |
CVE-2022-46701 |
Kernel |
是 |
iOS < 16.2 |
iPadOS < 16.2 |
tvOS < 16.1.1 |
CVE-2022-42864 |
IOHIDFamily |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
MacOS < 13.1 |
CVE-2022-46689 |
Kernel |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
MacOS < 13.1 |
CVE-2022-42845 |
Kernel |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42846 |
Graphics Driver |
是 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-46693 |
ImageIO |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42837 |
iTunes Store |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
CVE-2022-46695 |
Safari |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42867 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46691 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46692 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46696 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46700 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46699 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42863 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42856 |
WebKit |
是 |
Apple Safari < 16.1 |
tvOS < 16.1.1 |
iOS < 15.1 |
MacOS < 13.1 |
CVE-2022-42865 |
AppleMobileFileIntegrity |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42859 |
CoreServices |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
CVE-2022-42861 |
Kernel |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-42844 |
Kernel |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-42855 |
Preferences |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
tvOS < 16.1.1 |
CVE-2022-42862 |
Printing |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-42849 |
Software Update |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-42851 |
ImageIO |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
tvOS < 16.1.1 |
CVE-2022-42852 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46698 |
WebKit |
是 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-42843 |
Accounts |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-46702 |
GPU Drivers |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
CVE-2022-42866 |
Weather |
否 |
iOS < 16.1.2 |
iPadOS < 16.1.2 |
WatchOS < 9.1 |
tvOS < 16.1.1 |
CVE-2022-32943 |
Photos |
否 |
iOS < 16.2 |
iPadOS < 16.2 |
三、处置建议
目前苹果官方已发布安全版本修复该系列漏洞，建议受影响用户尽快更新至对应的安全版本。
https://support.apple.com/en-us/HT213530
参考链接 https://support.apple.com/en-us/HT213530
