蘋果修補macOS Catalina、舊版MacOS的任意程式碼執行、沙箱漏洞

蘋果上周釋出macOS Catalina 10.15.7，以及針對前版Mac的安全更新，以修補macOS Catalina、High Sierra、Mojave版本的任意程式碼執行、突破沙箱存取受保護檔案等4項漏洞。也修補了iOS 14.0自動改掉用戶預設第三方郵件及瀏覽器程式的問題。

macOS Catalina 10.15.7可能是Big Sur釋出前最後一個Catalina更新版，僅修補了兩項macOS Catalina 10.15.6的安全漏洞。第一項是CVE-2020-9973，這項由思科Talos安全小組發現的漏洞，同時也影響了iOS 及iPad 14.0。它導因於Model I/O元件對傳入檔案驗證不足，可讓攻擊者傳送惡意USD檔加以開採，造成應用程式關閉或任意程式碼執行。第二項漏洞為CVE-2020-9968，影響macOS的沙箱功能，可讓惡意程式得以存取有存取限制的檔案。這兩項漏洞影響Catalina 10.15.6、及前代High Sierra 10.13.6及 macOS Mojave 10.14.6兩個版本。

其他兩項安全漏洞則不影響Catalina。其中編號CVE-2020-9961的漏洞位於Image I/O，如前述的CVE-2020-9973一樣為頻外讀取（out-of-bounds read）漏洞，可造成應用程式關閉或任意程式碼執行。這項漏洞影響High Sierra 10.13.6及 macOS Mojave 10.14.6。

CVE-2020-9941存在於Mail程式元件中，蘋果只簡短說明這項漏洞允許遠端攻擊者「修改應用狀態」。這項漏洞僅影響High Sierra 10.13.6。

而在非安全功能方面，macOS Catalina‌ 10.15.7 則是修補了Mac電腦無法自動連上Wi-Fi、無法將檔案同步到iCloud Drive上，以及影響今年新上市的iMac的Radeon Pro 5700 XT顯卡問題。

此外，蘋果上周也釋出iOS 14.0.1及iPad 14.0.1。最新版修補了前述的CVE-2020-9973安全漏洞、iPhone/iPad無法連上Wi-Fi網路、以及會將用戶設定為預設的第三方郵件程式、瀏覽器如Outlook、Chrome改回Mail、Safari的功能瑕疵。