Informace o bezpečnostním obsahu Safari 12

Tento dokument popisuje bezpečnostní obsah Safari 12.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Safari 12

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivému webu se může podařit získat automaticky vyplněná data v Safari.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2018-4307: Rafay Baloch z Pákistánského telekomunikačního úřadu

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Uživateli nemusí fungovat mazání položek z historie prohlížeče.

Popis: Smazání položky historie nemusí smazat návštěvy vykonané přes řetězené přesměrování. Problém byl vyřešen vylepšením mazání dat.

CVE-2018-4329: Hugo S. Diaz (coldpointblue)

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Návštěva škodlivého webu kliknutím na odkaz může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2018-4195: xisigr z týmu Xuanwu Lab společnosti Tencent (www.tencent.com)

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivý web může způsobit neočekávané chování cross-origin.

Popis: V prvcích iframe existoval problém se získáváním dat cross-origin. Problém byl vyřešen vylepšením sledování bezpečnostních původů.

CVE-2018-4319: John Pettitt ze společnosti Google

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2018-4191: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivému webu se může podařit spouštět skripty v kontextu jiného webu.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4309: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4299: Samuel Groβ (saelo) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4323: Ivan Fratric z týmu Google Project Zero

CVE-2018-4328: Ivan Fratric z týmu Google Project Zero

CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zprávy SecurityError typu cross-origin zmiňovaly původ rámce, ke kterému uživatel přistupoval.

Popis: Problém byl vyřešen odebráním informací o původu.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivý web může vytáhnout data obrázků cross-origin.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4345: Jun Kokatsu (@shhnjk)

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém se spotřebou paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4361: nalezeno programem OSS-Fuzz

CVE-2018-4474: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2018-4312: Ivan Fratric z týmu Google Project Zero

CVE-2018-4315: Ivan Fratric z týmu Google Project Zero

CVE-2018-4197: Ivan Fratric z týmu Google Project Zero

CVE-2018-4314: Ivan Fratric z týmu Google Project Zero

CVE-2018-4318: Ivan Fratric z týmu Google Project Zero

CVE-2018-4306: Ivan Fratric z týmu Google Project Zero

CVE-2018-4317: Ivan Fratric z týmu Google Project Zero

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

Další poděkování

WebKit

Poděkování za pomoc zaslouží Cary Hartline, Hanming Zhang z týmu 360 Vulcan, Tencent Keen Security Lab ve spolupráci se Zero Day Initiative společnosti Trend Micro a Zach Malone ze společnosti CA Technologies.