Mengenai konten keamanan iOS 9.3
Dokumen ini menjelaskan konten keamanan iOS 9.3.
Demi melindungi pelanggan kami, Apple tidak mengungkap, membahas, atau mengkonfirmasi masalah keamanan hingga investigasi menyeluruh telah dilakukan dan perbaikan program atau rilis yang diperlukan telah tersedia. Untuk mempelajari Keamanan Produk Apple lebih lanjut, kunjungi situs web Keamanan Produk Apple.
Untuk mengetahui informasi mengenai Kunci PGP Keamanan Produk Apple, baca Cara menggunakan Kunci PGP Keamanan Produk Apple.
Jika memungkinkan, ID CVE digunakan sebagai referensi untuk mengetahui informasi lebih lanjut mengenai kerentanan.
Untuk mempelajari pembaruan keamanan lainnya, baca pembaruan keamanan Apple.
iOS 9.3
AppleUSBNetworking
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Perangkat USB mungkin dapat menyebabkan penolakan layanan
Deskripsi: Masalah penanganan kesalahan muncul dalam validasi paket. Masalah ini telah diatasi dengan penanganan kesalahan yang lebih baik.
CVE-ID
CVE-2016-1734 : Andrea Barisani dan Andrej Rosano dari Inverse Path
FontParser
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Membuka file PDF perusak yang berbahaya dapat mengakibatkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer
Deskripsi: Masalah kerusakan memori telah diatasi melalui penanganan memori yang lebih baik.
CVE-ID
CVE-2016-1740 : HappilyCoded (ant4g0nist dan r3dsm0k3) bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro
HTTPProtocol
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Penyerang dari jarak jauh mungkin dapat mengeksekusi kode arbitrer
Deskripsi: Beberapa kerentanan muncul di versi nghttp2 sebelum 1.6.0, yang paling serius dapat mengakibatkan eksekusi kode dari jarak jauh. Masalah ini telah diatasi dengan memperbarui nghttp2 ke versi 1.6.0.
CVE-ID
CVE-2015-8659
IOHIDFamily
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat menentukan tata letak memori kernel
Deskripsi: Masalah kerusakan memori telah diatasi melalui penanganan memori yang lebih baik.
CVE-ID
CVE-2016-1748 : Brandon Azad
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi mungkin dapat menyebabkan penolakan layanan
Deskripsi: Masalah penolakan layanan telah diatasi melalui validasi yang lebih baik.
CVE-ID
CVE-2016-1752 : CESG
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi melalui pengelolaan memori yang lebih baik.
CVE-ID
CVE-2016-1750 : CESG
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Beberapa kelebihan bilangan bulat telah diatasi melalui validasi input yang lebih baik.
CVE-ID
CVE-2016-1753 : Juwei Lin Trend Micro bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi mungkin dapat memintas penandatanganan kode
Deskripsi: Masalah izin muncul yang menyebabkan izin eksekusi salah diberikan. Masalah ini telah diatasi melalui validasi izin yang lebih baik.
CVE-ID
CVE-2016-1751 : Eric Monti dari Square Mobile Security
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Kondisi pacu terjadi selama pembuatan proses baru. Masalah ini telah diatasi melalui penanganan status yang lebih baik.
CVE-ID
CVE-2016-1757 : Ian Beer dari Google Project Zero dan Pedro Vilaça
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Dereferensi penunjuk null telah diatasi melalui validasi input yang lebih baik.
CVE-ID
CVE-2016-1756 : Lufeng Li dari Qihoo 360 Vulcan Team
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa kernel
Deskripsi: Beberapa masalah kerusakan memori telah diatasi melalui penanganan memori yang lebih baik.
CVE-ID
CVE-2016-1754 : Lufeng Li dari Qihoo 360 Vulcan Team
CVE-2016-1755 : Ian Beer dari Google Project Zero
Kernel
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi dapat menentukan tata letak memori kernel
Deskripsi: Masalah pembacaan di luar batas terjadi yang mengakibatkan pengungkapan memori kernel. Masalah ini telah diatasi melalui validasi input yang lebih baik.
CVE-ID
CVE-2016-1758 : Brandon Azad
LaunchServices
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Aplikasi mungkin dapat memodifikasi peristiwa dari aplikasi lain
Deskripsi: Masalah validasi pengendali peristiwa muncul di API XPC Services. Masalah ini telah diatasi melalui validasi pesan yang lebih baik.
CVE-ID
CVE-2016-1760 : Proteas dari Qihoo 360 Nirvan Team
libxml2
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Memproses XML perusak yang berbahaya dapat mengakibatkan aplikasi berhenti tiba-tiba atau eksekusi kode arbitrer
Deskripsi: Beberapa masalah kerusakan memori telah diatasi melalui penanganan memori yang lebih baik.
CVE-ID
CVE-2015-1819
CVE-2015-5312 : David Drysdale dari Google
CVE-2015-7499
CVE-2015-7500 : Kostya Serebryany dari Google
CVE-2015-7942 : Kostya Serebryany dari Google
CVE-2015-8035 : gustavo.grieco
CVE-2015-8242 : Hugh Davenport
CVE-2016-1761 : wol0xff bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro
CVE-2016-1762
Pesan
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Mengunjungi situs web perusak yang berbahaya dapat mengisi teks secara otomatis ke dalam topik Pesan lain
Deskripsi: Masalah muncul saat menguraikan URL SMS. Masalah ini telah diatasi melalui validasi URL yang lebih baik.
CVE-ID
CVE-2016-1763 : CityTog
Pesan
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Penyerang yang dapat memintas pemberian pin sertifikat Apple, mengganggu koneksi TLS, memasukkan pesan, dan mencatat pesan jenis lampiran terenkripsi mungkin dapat membaca lampiran
Deskripsi: Masalah kriptografi telah diatasi dengan menolak pesan duplikat pada klien.
CVE-ID
CVE-2016-1788 : Christina Garman, Matthew Green, Gabriel Kaptchuk, Ian Miers, dan Michael Rushanan dari Johns Hopkins University
Profil
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Profil MDM yang tidak tepercaya mungkin salah ditampilkan sebagai terverifikasi
Deskripsi: Masalah validasi sertifikat muncul di profil MDM. Masalah ini telah diatasi melalui pemeriksaan tambahan.
CVE-ID
CVE-2016-1766 : Taylor Boyko bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro
Security
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Memproses sertifikat perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Masalah kerusakan memori muncul di dekoder ASN.1. Masalah ini telah diatasi melalui validasi input yang lebih baik.
CVE-ID
CVE-2016-1950 : Francis Gabriel dari Quarkslab
TrueTypeScaler
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Memproses file font perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Masalah kerusakan memori muncul saat memproses file fon. Masalah ini telah diatasi melalui validasi input yang lebih baik.
CVE-ID
CVE-2016-1775 : 0x1byte bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Memproses konten web perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer
Deskripsi: Beberapa masalah kerusakan memori telah diatasi melalui penanganan memori yang lebih baik.
CVE-ID
CVE-2016-1778 : 0x1byte bekerja sama dengan Zero Day Initiative (ZDI) dari Trend Micro dan Yang Zhao dari CM Security
CVE-2016-1783 : Mihai Parparita dari Google
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Situs web mungkin dapat melacak informasi sensitif pengguna
Deskripsi: Masalah muncul saat menangani URL lampiran. Masalah ini telah diatasi melalui penanganan URL yang lebih baik.
CVE-ID
CVE-2016-1781 : Devdatta Akhawe dari Dropbox, Inc.
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Situs web mungkin dapat melacak informasi sensitif pengguna
Deskripsi: Halaman web tersembunyi mungkin dapat mengakses data orientasi perangkat dan gerakan perangkat. Masalah ini telah diatasi dengan menangguhkan ketersediaan data ini ketika tampilan web disembunyikan.
CVE-ID
CVE-2016-1780 : Maryam Mehrnezhad, Ehsan Toreini, Siamak F. Shahandashti, dan Feng Hao dari School of Computing Science, Newcastle University, Inggris
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Mengunjungi situs web perusak yang berbahaya dapat mengungkapkan lokasi pengguna saat ini
Deskripsi: Masalah terjadi saat menguraikan permintaan geolokasi. Masalah ini telah diatasi melalui peningkatan validasi sumber keamanan untuk permintaan geolokasi.
CVE-ID
CVE-2016-1779 : xisigr dari Tencent's Xuanwu Lab (http://www.tencent.com)
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Situs web yang berbahaya mungkin dapat mengakses port terbatas di server arbitrer
Deskripsi: Masalah pengalihan port telah diatasi melalui validasi port tambahan.
CVE-ID
CVE-2016-1782 : Muneaki Nishimura (nishimunea) dari Recruit Technologies Co.,Ltd.
WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Membuka URL perusak yang berbahaya dapat mengakibatkan pengungkapan informasi pengguna yang sensitif
Deskripsi: Masalah muncul saat pengalihan URL saat auditor XSS digunakan dalam mode blokir. Masalah ini telah diatasi melalui navigasi URL yang lebih baik.
CVE-ID
CVE-2016-1864 : Takeshi Terada dari Mitsui Bussan Secure Directions, Inc.
Riwayat WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Memproses konten web perusak yang berbahaya dapat mengakibatkan kerusakan Safari yang tidak terduga
Deskripsi: Masalah kehabisan sumber daya telah diatasi melalui peningkatan validasi input.
CVE-ID
CVE-2016-1784 : Moony Li dan Jack Tang dari TrendMicro dan 李普君 dari 无声信息技术PKAV Team (PKAV.net)
Pemuatan Halaman WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Mengunjungi situs web yang berbahaya dapat menyebabkan pemalsuan antarmuka pengguna
Deskripsi: Respons pengalihan dapat memungkinkan situs web yang berbahaya menampilkan URL arbitrer dan membaca konten cache dari sumber tujuan. Masalah ini telah diatasi melalui logika tampilan URL yang ditingkatkan.
CVE-ID
CVE-2016-1786 : ma.la dari LINE Corporation
Pemuatan Halaman WebKit
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Situs web yang berbahaya dapat menarik data lintas sumber
Deskripsi: Masalah cache terjadi pada enkode karakter. Masalah ini telah diatasi melalui pemeriksaan permintaan tambahan.
CVE-ID
CVE-2016-1785 : peneliti anonim
Wi-Fi
Tersedia untuk: iPhone 4s dan versi lebih baru, iPod touch (generasi ke-5) dan versi lebih baru, iPad 2 dan versi lebih baru
Dampak: Penyerang dengan posisi jaringan yang memiliki hak istimewa mungkin dapat mengeksekusi kode arbitrer
Deskripsi: Validasi bingkai dan masalah kerusakan memori terjadi pada ethertype tertentu. Masalah ini telah diatasi melalui validasi ethertype tambahan dan penanganan memori yang ditingkatkan.
CVE-ID
CVE-2016-0801 : peneliti anonim
CVE-2016-0802 : peneliti anonim
Informasi mengenai produk yang tidak diproduksi Apple, atau situs web independen yang tidak dikendalikan atau diuji Apple, diberikan tanpa rekomendasi atau persetujuan. Apple tidak bertanggung jawab atas pemilihan, kinerja, atau penggunaan situs web atau produk pihak ketiga. Apple tidak memberikan pernyataan terkait keakuratan atau keandalan situs web pihak ketiga. Hubungi vendor untuk informasi tambahan.