Om sikkerhedsindholdet i Safari 10.0.3

I dette dokument beskrives sikkerhedsindholdet i Safari 10.0.3.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden med Apple-sikkerhedsopdateringer.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed. Du kan kryptere din kommunikation med Apple ved hjælp af PGP-nøglen til Apple-produktsikkerhed.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

Safari 10.0.3

Safari

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Besøg på et skadeligt websted kan medføre manipulering med adresselinjen.

Beskrivelse: Der var et statusadministrationsproblem i adresselinjen, som er løst ved forbedret håndtering af URL-adresser.

CVE-2017-2359: xisigr fra Tencents Xuanwu Lab (tencent.com)

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af skadeligt webindhold kan eksfiltrere data-cross-origin

Beskrivelse: Et problem med adgang til prototype er løst ved undtagelseshåndtering.

CVE-2017-2350: Gareth Heyes fra Portswigger Web Security

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af webindhold med skadelig kode kan føre til vilkårlig kørsel af kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-2354: Neymar fra Tencents Xuanwu Lab (tencent.com), der arbejder med Trend Micros Zero Day Initiative

CVE-2017-2362: Ivan Fratric fra Google Project Zero

CVE-2017-2373: Ivan Fratric fra Google Project Zero

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af webindhold med skadelig kode kan føre til vilkårlig kørsel af kode

Beskrivelse: Der var et problem med hukommelsesinitialisering, som er løst ved forbedret hukommelsesbehandling.

CVE-2017-2355: Team Pangu og lokihardt til PwnFest 2016

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af webindhold med skadelig kode kan føre til vilkårlig kørsel af kode

Beskrivelse: Flere problemer med korruption af hukommelsen er løst via forbedret godkendelse af input.

CVE-2017-2356: Team Pangu og lokihardt til PwnFest 2016

CVE-2017-2369: Ivan Fratric fra Google Project Zero

CVE-2017-2366: Kai Kang fra Tencents Xuanwu Lab (tencent.com)

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af skadeligt webindhold kan eksfiltrere data-cross-origin

Beskrivelse: Der var flere godkendelsesproblemer i håndteringen af sideindlæsning. Problemet er løst ved forbedret logik.

CVE-2017-2363: lokihardt fra Google Project Zero

CVE-2017-2364: lokihardt fra Google Project Zero

WebKit

Fås til: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 og macOS Sierra 10.12.3

Effekt: Behandling af skadeligt webindhold kan eksfiltrere data-cross-origin

Beskrivelse: Der var et godkendelsesproblem i håndteringen af variabler. Problemet er løst ved forbedret godkendelse.

CVE-2017-2365: lokihardt fra Google Project Zero

Yderligere anerkendelse

WebKit-hærdning

Tak for hjælpen til Ben Gras, Kaveh Razavi, Erik Bosman, Herbert Bos og Cristiano Giuffrida fra vusec group på Vrije Universiteit Amsterdam.