Om sikkerhedsindholdet i iOS 11.2

Dette dokument indeholder en beskrivelse af sikkerhedsindholdet i iOS 11.2.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden om Apple-sikkerhedsopdateringer.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed. Du kan kryptere din kommunikation med Apple ved hjælp af PGP-nøglen til Apple-produktsikkerhed.

Apple sikkerhedsdokumenterer om muligt henvisninger til sikkerhedsproblemer med et CVE-id.

iOS 11.2

Udgivet 2. december 2017

App Store

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: En hacker med en privilegeret netværksposition kan efterligne anmodninger om adgangskoder i App Store

Beskrivelse: Et problem med godkendelse af input blev løst via forbedret inputvalidering.

CVE-2017-7164: Jerry Decime

Post tilføjet 11. januar 2018

Automatisk lås op

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2017-13905: Samuel Groß (@5aelo)

Post tilføjet 18. oktober 2018

Lommeregner

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: En hacker med en privilegeret netværksposition kan muligvis ændre valutaomregningskurserne

Beskrivelse: Valutakurserne blev hentet fra HTTP i stedet for HTTPS. Problemet er løst ved at aktivere HTTPS for valutakurser.

CVE-2017-2411: Richard Shupak (linkedin.com/in/rshupak), Seth Vargo (@sethvargo) fra Google og en anonym programmør

Post tilføjet 2. maj 2018, opdateret 14. juni 2018

CFNetwork-session

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med systemrettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-7172: Richard Zhu (fluorescence), der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 22. januar 2018

CoreAnimation

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med hævede rettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-7171: 360 Security, der arbejder med Trend Micros Zero Day Initiative, og Tencent Keen Security Lab (@keen_lab), der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 22. januar 2018

CoreFoundation

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan få adgang til hævede rettigheder

Beskrivelse: En konkurrencetilstand er blevet løst med yderligere validering.

CVE-2017-7151: Samuel Groß (@5aelo)

Post tilføjet 18. oktober 2018

IOKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret statusadministration.

CVE-2017-13847: Ian Beer fra Google Project Zero

Post opdateret 10. januar 2018

IOKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-7162: Tencent Keen Security Lab (@keen_lab), der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 21. december 2017, opdateret 10. januar 2018

IOMobileFrameBuffer

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettighed

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13879: Apple

IOSurface

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13861: Ian Beer fra Google Project Zero

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13904: Kevin Backhouse fra Semmle Ltd.

Post tilføjet 14. februar 2018

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis læse kernehukommelsen (Meltdown)

Beskrivelse: Systemer med mikroprocessorer, der udnytter spekulativ eksekvering og indirekte stiforudsigelse, kan uautoriseret offentliggøre oplysninger til en hacker med lokal brugeradgang gennem analyse af datacachen via en sidekanal.

CVE-2017-5754: Jann Horn fra Google Project Zero, Moritz Lipp fra Graz University of Technology, Michael Schwarz fra Graz University of Technology, Daniel Gruss fra Graz University of Technology, Thomas Prescher fra Cyberus Technology GmbH, Werner Haas fra Cyberus Technology GmbH, Stefan Mangard fra Graz University of Technology, Paul Kocher, Daniel Genkin fra University of Pennsylvania og University of Maryland, Yuval Yarom fra University of Adelaide og Data61 og Mike Hamburg fra Rambus (Cryptography Research Division)

Post tilføjet 4. januar 2018, opdateret 10. januar 2018

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13862: Apple

CVE-2017-13867: Ian Beer fra Google Project Zero

CVE-2017-13876: Ian Beer fra Google Project Zero

Post opdateret 21. december 2017

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2017-7173: Brandon Azad

Post opdateret 1. august 2018

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Et problem med forveksling af typer er løst ved hjælp af forbedret hukommelsesbehandling.

CVE-2017-13855: Jann Horn fra Google Project Zero

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis læse beskyttet hukommelse

Beskrivelse: Der var flere godkendelsesproblemer, som er løst ved hjælp af forbedret rensning af input.

CVE-2017-13865: Ian Beer fra Google Project Zero

CVE-2017-13868: Brandon Azad

CVE-2017-13869: Jann Horn fra Google Project Zero

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: En lokal bruger kan muligvis udløse pludselig programlukning eller læsning af kernehukommelsen.

Beskrivelse: Der var et problem med godkendelse af input i kernen. Problemet er løst ved forbedret godkendelse af input.

CVE-2017-7154: Jann Horn fra Google Project Zero

Post tilføjet 21. december 2017

Kernel

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Et program kan muligvis køre vilkårlig kode med kernerettighed

Beskrivelse: Et problem med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13880: Apple

Post tilføjet 18. oktober 2018

Mail

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Der er brugt et ukorrekt certifikat til kryptering

Beskrivelse: Der var et problem med S/MIME ved håndteringen af krypteret e-mail. Dette problem blev løst ved forbedret valg af krypteringscertifikat.

CVE-2017-13874: Nicolas Devillard

Post opdateret 9. april 2018

Udkast til e-mails

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: En hacker med en privilegeret netværksposition kan muligvis opfange indhold i e-mails

Beskrivelse: Der var et krypteringsproblem med S/MIME-loginoplysninger. Problemet blev løst ved hjælp af yderligere kontroller og brugerkontrol.

CVE-2017-13860: Michael Weishaar fra INNEO Solutions GmbH

Mail Message Framework

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Besøg på et skadeligt websted kan medføre manipulering med adresselinjen

Beskrivelse: Et problem med en inkonsekvent brugerflade er løst ved forbedret statusadministration.

CVE-2017-7152: Oliver Paukstadt fra Thinking Objects GmbH (to.com)

Post tilføjet 21. december 2017

ReplayKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: En bruger kan miste kontrollen over sin skærmudsendelse

Beskrivelse: Et problem med forveksling af typer er løst ved hjælp af forbedret hukommelsesbehandling.

CVE-2017-13888: Peter Pau (ArcanaArt.com)

Post tilføjet 21. juni 2018

SafariViewController

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Besøg på et skadeligt websted kan medføre manipulering med adresselinjen

Beskrivelse: Et problem med en inkonsekvent brugerflade blev løst ved forbedret statusadministration.

CVE-2017-13891: Janne Raiskila (@raiskila)

Post tilføjet 21. juni 2018

WebKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13885: 360 Security, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 22. januar 2018

WebKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-7165: 360 Security, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 22. januar 2018

WebKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-13884: 360 Security, der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 22. januar 2018

WebKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Indlæsning af et skadeligt websted kan medføre manipulering med brugergrænsefladen

Beskrivelse: Omdirigering af svar til 401 Unauthorized kan give et skadeligt websted tilladelse til fejlagtigt at vise låsesymbolet på blandet indhold. Problemet er løst gennem forbedret visningslogik for URL-adresser.

CVE-2017-7153: Jerry Decime

Post tilføjet 11. januar 2018

WebKit

Fås til: iPhone 5s og nyere, iPad Air og nyere og iPod touch 6. generation

Effekt: Behandling af webindhold med skadelig kode kan føre til kørsel af vilkårlig kode

Beskrivelse: Flere problemer med beskadiget hukommelse er løst via forbedret hukommelseshåndtering.

CVE-2017-7156: Yuan Deng fra Ant-financial Light-Year Security Lab

CVE-2017-7157: En anonym programmør

CVE-2017-13856: Jeonghoon Shin

CVE-2017-13870: Tencent Keen Security Lab (@keen_lab), der arbejder med Trend Micros Zero Day Initiative

CVE-2017-7160: Richard Zhu (fluorescence), der arbejder med Trend Micros Zero Day Initiative

CVE-2017-13866: Tencent Keen Security Lab (@keen_lab), der arbejder med Trend Micros Zero Day Initiative

Post tilføjet 13. december 2017, opdateret 4. maj 2018

Wi-Fi

Fås til: iPhone 6s, iPhone 6s Plus, iPhone 6, iPhone 6 Plus, iPhone SE, iPhone 5s, 12,9" iPad Pro 1. generation, iPad Air 2, iPad Air, iPad 5. generation, iPad mini 4, iPad mini 3, iPad mini 2 og iPod touch 6. generation
Udgivet til iPhone 7 eller en nyere model og iPad Pro 9,7" (begyndelsen af 2016) eller en nyere model i iOS 11.1.

Effekt: En hacker inden for Wi-Fi-rækkevidde kan gennemtvinge genbrug af nonce i WPA multicast/GTK-klienter (Key Reinstallation Attacks – KRACK)

Beskrivelse: Der var et logikproblem i håndteringen af statusovergange. Det er løst ved hjælp af forbedret statusadministration.

CVE-2017-13080: Mathy Vanhoef fra imec-DistriNet-gruppen hos KU Leuven

Yderligere anerkendelser

WebKit

Vi vil gerne takke Yiğit Can YILMAZ (@yilmazcanyigit) og Abhinash Jain (@abhinashjain) for deres hjælp.

Post tilføjet 14. februar 2018, opdateret 9. april 2018

Oplysninger om produkter, der ikke er fremstillet af Apple, eller selvstændige websteder, der ikke er styret eller testet af Apple, er ikke udtryk for anbefalinger eller godkendelser fra Apples side. Apple påtager sig intet ansvar med hensyn til udvalget af disse produkter, produkternes funktionsevne eller brugen af produkterne. Apple giver ingen garanti for, at indholdet på websteder, som Apple ikke står bag, er pålideligt og præcist. Det er forbundet med en naturlig risiko at bruge internettet. Kontakt producenten for at få yderligere oplysninger. Andre virksomheds- og produktnavne kan være varemærker tilhørende de respektive ejere.

Udgivelsesdato: