Informace o bezpečnostních aktualizacích Apple
Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.
Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.
Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.
Safari 13.1.2
Vydáno 15. července 2020
Safari
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.
Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.
CVE-2020-9942: anonymní výzkumník, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) z The City School, PAF Chapter, Ruilin Yang z týmu Tencent Security Xuanwu Lab, YoKo Kho (@YoKoAcc) ze společnosti PT Telekomunikasi Indonesia (Persero) Tbk, Zhiyang Zeng(@Wester) z týmu OPPO ZIWU Security Lab
Záznam přidán 12. listopadu 2020
Stahování v Safari
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Útočníkovi se může podařit změnit původ rámce při stahování v režimu čtečky Safari.
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2020-9912: Nikhil Mittal (@c0d3G33k) z Payatu Labs (payatu.com)
Automatické vyplňování přihlašovacích údajů v Safari
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Útočníkovi se škodlivými úmysly se může podařit způsobit, aby aplikace Safari navrhla heslo pro špatnou doménu.
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2020-9903: Nikhil Mittal (@c0d3G33k) z Payatu Labs (payatu.com)
Čtečka v Safari
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Problém v režimu Čtečky v Safari může vzdálenému útočníkovi umožnit obejít zásady SOP (Same Origin Policy).
Popis: Problém v logice byl vyřešen vylepšením omezení.
CVE-2020-9911: Nikhil Mittal (@c0d3G33k) z Payatu Labs (payatu.com)
WebKit
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.
Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.
CVE-2020-9894: 0011 ve spolupráci se Zero Day Initiative společnosti Trend Micro
WebKit
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Kvůli zpracování škodlivého webového obsahu nemusí být vynucena zásada zabezpečení obsahu.
Popis: V zásadách CSP (Content Security Policy) existoval problém s přístupem. Problém byl vyřešen vylepšením přístupových omezení.
CVE-2020-9915: Ayoub AIT ELMOKHTAR z Noon
Záznam aktualizován 28. července 2020
WebKit
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Zpracování škodlivého webového obsahu může vést k univerzálnímu skriptování napříč weby.
Popis: Problém v logice byl vyřešen vylepšením správy stavu.
CVE-2020-9925: anonymní výzkumník
WebKit
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Vzdálenému útočníkovi se může podařit způsobit nečekané ukončení aplikace nebo spustit libovolný kód.
Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.
CVE-2020-9893: 0011 ve spolupráci se Zero Day Initiative společnosti Trend Micro
CVE-2020-9895: Wen Xu z SSLab, Georgia Tech
WebKit
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Útočníkovi, který má možnost libovolně zapisovat a číst, se může podařit obejít ověřování ukazatele.
Popis: Několik problémů bylo vyřešeno vylepšením logiky.
CVE-2020-9910: Samuel Groß z týmu Google Project Zero
Načítání stránek ve WebKitu
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Útočníkovi se může podařit skrýt cíl URL.
Popis: Problém s kódováním Unicode v URL byl vyřešen vylepšením správy stavu.
CVE-2020-9916: Rakesh Mane (@RakeshMane10)
WebKit Web Inspector
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Při kopírování URL z Web Inspectoru může dojít k vložení příkazu.
Popis: Ve Web Inspectoru existoval problém s vložením příkazu. Problém byl vyřešen vylepšením escapování.
CVE-2020-9862: Ophir Lojkine (@lovasoa)
WebRTC
K dispozici pro macOS Mojave a macOS High Sierra, zahrnuto v macOS Catalina
Dopad: Útočníkovi s vysokými oprávněními v síti se může podařit způsobit poškození haldy prostřednictvím škodlivého streamu SCTP.
Popis: Problém s poškozením paměti byl vyřešen vylepšením správy stavu.
CVE-2020-6514: natashenka z týmu Google Project Zero
Záznam přidán 21. září 2020