Informace o bezpečnostním obsahu Safari 13.0.1

Tento dokument popisuje bezpečnostní obsah Safari 13.0.1.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

Safari 13.0.1

Safari

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2019-8654: Juno Im (@junorouse) ze společnosti Theori

Service Workers

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Součásti „service workers“ můžou odhalovat historii anonymního prohlížení.

Popis: Problém byl vyřešen vylepšením způsobu, jakým se zachází s životností součástí „service workers“.

CVE-2019-8725: Michael Thwaite ze společnosti Connect Medi

WebKit

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Škodlivý webový obsah může porušit zásady sandboxování rámců iframe.

Popis: Problém byl vyřešen lepším vynucováním sandboxování rámců iframe.

CVE-2019-8771: Eliya Stein ze společnosti Confiant

WebKit

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením správy paměti.

CVE-2019-8710: nalezeno programem OSS-Fuzz

CVE-2019-8743: zhunki z týmu Codesafe ve společnosti Legendsec ze skupiny Qi'anxin Group

CVE-2019-8751: Dongzhuo Zhao ve spolupráci s týmem ADLab společnosti Venustech

CVE-2019-8752: Dongzhuo Zhao ve spolupráci s týmem ADLab společnosti Venustech

CVE-2019-8763: Sergei Glazunov z týmu Google Project Zero

CVE-2019-8765: Samuel Groß z týmu Google Project Zero

CVE-2019-8766: nalezeno programem OSS-Fuzz

CVE-2019-8773: nalezeno programem OSS-Fuzz

WebKit

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Zpracování škodlivého webového obsahu může vést k univerzálnímu skriptování napříč weby.

Popis: Problém v logice byl vyřešen vylepšením správy stavu.

CVE-2019-8764: Sergei Glazunov z týmu Google Project Zero

WebKit

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Zpracování škodlivého webového obsahu může vést k univerzálnímu skriptování napříč weby.

Popis: Problém s ověřováním byl vyřešen vylepšením logiky.

CVE-2019-8762: Sergei Glazunov z týmu Google Project Zero

WebKit

K dispozici pro: macOS Mojave 10.14.6, macOS High Sierra 10.13.6

Dopad: Zpracování škodlivého webového obsahu může vést ke spuštění libovolného kódu.

Popis: Problém s poškozením paměti byl vyřešen vylepšením ověřování.

CVE-2020-9932: Dongzhuo Zhao ve spolupráci s týmem ADLab společnosti Venustech

Další poděkování

Safari

Poděkování za pomoc zaslouží Yiğit Can YILMAZ (@yilmazcanyigit) a Zhiyang Zeng (@Wester) z týmu OPPO ZIWU Cyber Security Lab.