Informace o bezpečnostním obsahu Safari 11.1

Tento dokument popisuje bezpečnostní obsah Safari 11.1.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Safari 11.1

Safari

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2018-4102: Kai Zhao z bezpečnostního týmu 3H

CVE-2018-4116: @littlelailo, xisigr z týmu Xuanwu Lab společnosti Tencent (tencent.com)

Stahování v Safari

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Při anonymním procházení nebyla některá stahování odstraněna ze seznamu stahování.

Popis: Ve zpracování stahování při anonymním procházení v Safari existoval problém s únikem informací. Problém byl vyřešen dodatečným ověřováním.

CVE-2018-4186: anonymní výzkumník

Automatické vyplňování přihlašovacích údajů v Safari

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Škodlivému webu se může podařit získat automaticky vyplněná data v Safari i bez přímé interakce s uživatelem.

Popis: V Safari probíhalo automatické vyplňování, aniž by vyžadovalo přímou interakci s uživatelem. Problém byl vyřešen vylepšením heuristiky automatického vyplňování.

CVE-2018-4137

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4101: Yuan Deng z týmu Ant-financial Light-Year Security Lab

CVE-2018-4114: nalezeno programem OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

CVE-2018-4121: natashenka z týmu Google Project Zero

CVE-2018-4122: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4125: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4127: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng z týmu Baidu Security Lab ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4130: Omair ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4161: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4162: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4163: WanderingGlitch ze Zero Day Initiative společnosti Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Návštěva škodlivého webu může vést ke skriptovému útoku napříč weby.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4133: Anton Lopanitsyn ze společnosti Wallarm, Linus Särud ze společnosti Detectify (detectify.com), Yuji Tounai ze společnosti NTT Communications Corporation

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce s typy indexování způsobovala chybu ASSERT.

Popis: Ve zpracovávání funkcí javascriptového jádra existoval problém s indexováním matic. Problém byl vyřešen vylepšením kontrol.

CVE-2018-4113: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Zpracování škodlivého webového obsahu může vést k odmítnutí služby.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4146: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Škodlivý web může získat data napříč původy.

Popis: V načítacím API docházelo k problému se záměnou původu. Problém byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4117: anonymní výzkumník a anonymní výzkumník

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4207: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4208: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4209: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce s typy indexování způsobovala chybu.

Popis: Ve zpracovávání funkcí javascriptového jádra existoval problém s indexováním matic. Problém byl vyřešen vylepšením kontrol.

CVE-2018-4210: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4212: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém byl vyřešen vylepšením kontrol.

CVE-2018-4213: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění kódu

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4145: Nalezeno programem OSS-Fuzz

Další poděkování

WebKit

Poděkování za pomoc si zaslouží Johnny Nipper z týmu Tinder Security Team.