Informace o bezpečnostním obsahu Safari 12

Tento dokument popisuje bezpečnostní obsah Safari 12.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Safari 12

Vydáno 17. září 2018

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivému webu se může podařit získat automaticky vyplněná data v Safari.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2018-4307: Rafay Baloch z Pákistánského telekomunikačního úřadu

Záznam aktualizován 24. září 2018

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Uživateli nemusí fungovat mazání položek z historie prohlížeče.

Popis: Smazání položky historie nemusí smazat návštěvy vykonané přes řetězené přesměrování. Problém byl vyřešen vylepšením mazání dat.

CVE-2018-4329: Hugo S. Diaz (coldpointblue)

Záznam aktualizován 24. září 2018

Safari

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Návštěva škodlivého webu kliknutím na odkaz může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2018-4195: xisigr z týmu Xuanwu Lab společnosti Tencent (www.tencent.com)

Záznam aktualizován 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivý web může způsobit neočekávané chování napříč původy.

Popis: V prvcích iframe existoval problém se získáváním dat napříč původy. Problém byl vyřešen vylepšením sledování bezpečnostních původů.

CVE-2018-4319: John Pettitt ze společnosti Google

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2018-4191: Nalezeno programem OSS-Fuzz

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivému webu se může podařit spouštět skripty v kontextu jiného webu.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4309: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4299: Samuel Groβ (saelo) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4323: Ivan Fratric z týmu Google Project Zero

CVE-2018-4328: Ivan Fratric z týmu Google Project Zero

CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

Záznam přidán 24. září 2018, aktualizován 24. října 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zprávy SecurityError zobrazované napříč původy zmiňovaly původ rámce, ke kterému uživatel přistupoval.

Popis: Problém byl vyřešen odebráním informací o původu.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Škodlivý web může vytáhnout data obrázků napříč původy.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4345: anonymní výzkumník

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém se spotřebou paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4361: nalezeno programem OSS-Fuzz

Záznam přidán 24. září 2018, aktualizován 24. října 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2018-4312: Ivan Fratric z týmu Google Project Zero

CVE-2018-4315: Ivan Fratric z týmu Google Project Zero

CVE-2018-4197: Ivan Fratric z týmu Google Project Zero

CVE-2018-4314: Ivan Fratric z týmu Google Project Zero

CVE-2018-4318: Ivan Fratric z týmu Google Project Zero

CVE-2018-4306: Ivan Fratric z týmu Google Project Zero

CVE-2018-4317: Ivan Fratric z týmu Google Project Zero

Záznam přidán 24. září 2018

WebKit

K dispozici pro: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

Záznam přidán 24. září 2018

Další poděkování

WebKit

Poděkování za pomoc si zaslouží Cary Hartline, Hanming Zhang z týmu 360 Vuclan, Tencent Keen Security Lab ve spolupráci se Zero Day Initiative společnosti Trend Micro a Zach Malone ze společnosti CA Technologies.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: