CVE-2024-54465

Błąd logiczny w macOS umożliwiający privilege escalation

CVSS 9.8v3.1pub. 2024-12-12upd. 2025-11-03

Podatność w systemie macOS Sequoia wynika z błędu logicznego w zarządzaniu stanem, który umożliwia aplikacji nieuprawnione podwyższenie uprawnień. Krytyczny wynik CVSS 9.8 wskazuje na poważne ryzyko dla bezpieczeństwa systemu.

▸ Pokaż oryginał (EN)

A logic issue was addressed with improved state management. This issue is fixed in macOS Sequoia 15.2. An app may be able to elevate privileges.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowego zarządzania stanem (logic issue), sklasyfikowanego częściowo jako CWE-281 (nieprawidłowe zachowanie przy zmianie uprawnień). Złośliwa lub skompromitowana aplikacja może wykorzystać ten błąd, aby uzyskać wyższe uprawnienia systemowe niż jej przyznano. Apple naprawiło podatność poprzez poprawę mechanizmów zarządzania stanem w systemie.

Skutki

Atakujący kontrolujący aplikację uruchomioną na podatnym systemie może uzyskać podwyższone uprawnienia, co potencjalnie pozwala na pełne przejęcie kontroli nad systemem, naruszenie poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować system do macOS Sequoia 15.2 lub nowszego. Patch dostępny za pośrednictwem mechanizmu aktualizacji systemowych Apple oraz na stronie https://support.apple.com/en-us/121839

Kogo dotyczy

Apple macOS Sequoia w wersjach poprzedzających 15.2

Uwagi

Podatność ujawniona publicznie na liście Full Disclosure (seclists.org) w grudniu 2024 roku. CWE-281 wskazuje na błąd związany z zachowaniem uprawnień podczas określonych operacji na poziomie systemu operacyjnego.