Informace o bezpečnostním obsahu iTunes 12.9 pro Windows

Tento dokument popisuje bezpečnostní obsah iTunes 12.9 pro Windows.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple. Komunikaci se společností Apple můžete zašifrovat pomocí klíče PGP zabezpečení produktů Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

iTunes 12.9 pro Windows

CFNetwork

K dispozici pro: Windows 7 a novější

Dopad: Aplikaci se může podařit spustit libovolný kód se systémovými oprávněními.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4126: Bruno Keith (@bkth_) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CoreFoundation

K dispozici pro: Windows 7 a novější

Dopad: Aplikaci se může podařit navýšit si oprávnění.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4414: Národní centrum Spojeného království pro kyberbezpečnost (NCSC)

CoreFoundation

K dispozici pro: Windows 7 a novější

Dopad: Škodlivá aplikace si může navýšit oprávnění.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování vstupů.

CVE-2018-4412: Národní centrum Spojeného království pro kyberbezpečnost (NCSC)

CoreText

K dispozici pro: Windows 7 a novější

Dopad: Zpracování škodlivého textového souboru může vést ke spuštění libovolného kódu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2018-4347: Vasyl Tkachuk ze společnosti Readdle

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2018-4191: Nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Zprávy SecurityError typu cross-origin zmiňovaly původ rámce, který uživatel načítal.

Popis: Problém byl vyřešen odebráním informací o původu.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) z týmu Qihoo 360 Vulcan

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2018-4299: Samuel Groβ (saelo) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4323: Ivan Fratric z týmu Google Project Zero

CVE-2018-4328: Ivan Fratric z týmu Google Project Zero

CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Škodlivý web může způsobit neočekávané chování cross-origin.

Popis: V prvcích iframe existoval problém se získáváním dat cross-origin. Problém byl vyřešen vylepšením sledování bezpečnostních původů.

CVE-2018-4319: John Pettitt ze společnosti Google

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Škodlivému webu se může podařit spouštět skripty v kontextu jiného webu.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4309: anonymní výzkumník ve spolupráci se Zero Day Initiative společnosti Trend Micro

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2018-4197: Ivan Fratric z týmu Google Project Zero

CVE-2018-4306: Ivan Fratric z týmu Google Project Zero

CVE-2018-4312: Ivan Fratric z týmu Google Project Zero

CVE-2018-4314: Ivan Fratric z týmu Google Project Zero

CVE-2018-4315: Ivan Fratric z týmu Google Project Zero

CVE-2018-4317: Ivan Fratric z týmu Google Project Zero

CVE-2018-4318: Ivan Fratric z týmu Google Project Zero

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Škodlivý web může vytáhnout data obrázků cross-origin.

Popis: V Safari existoval problém se skriptováním napříč weby. Problém byl vyřešen vylepšením ověřování URL.

CVE-2018-4345: Jun Kokatsu (@shhnjk)

WebKit

K dispozici pro: Windows 7 a novější

Dopad: Nečekaná interakce způsobovala chybu ASSERT.

Popis: Problém se spotřebou paměti byl vyřešen vylepšením správy paměti.

CVE-2018-4361: nalezeno programem OSS-Fuzz

CVE-2018-4474: nalezeno programem OSS-Fuzz

Další poděkování

SQLite

Poděkování za pomoc zaslouží Andreas Kurtz (@aykay) ze společnosti NESO Security Labs GmbH.

WebKit

Poděkování za pomoc zaslouží Cary Hartline, Hanming Zhang z týmu 360 Vulcan, Tencent Keen Security Lab ve spolupráci se Zero Day Initiative společnosti Trend Micro a Zach Malone ze společnosti CA Technologies.