Om sikkerhedsindholdet i iOS 17 og iPadOS 17

I dette dokument beskrives sikkerhedsindholdet i iOS 17 og iPadOS 17.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apples sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

iOS 17 og iPadOS 17

Udgivet 18. september 2023

Accessibility

Fås til: iPhone XS og nyere modeller, iPad Pro 12,9" (2. generation og nyere modeller), iPad Pro 10,5", iPad Pro 11" (1. generation og nyere modeller), iPad Air (3. generation og nyere modeller), iPad (6. generation og nyere modeller) og iPad mini (5. generation og nyere modeller)

Effekt: En bruger med fysisk adgang til en enhed kan muligvis bruge VoiceOver til at få adgang til private kalenderoplysninger

Beskrivelse: Problemet er løst ved forbedret bortredigering af følsomme oplysninger.

CVE-2023-40529: Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal

Post tilføjet 22. december 2023

Airport

Effekt: En app kan muligvis læse følsomme oplysninger om lokalitet

Beskrivelse: Et problem med tilladelser blev løst med forbedret redigering af følsomme oplysninger.

CVE-2023-40384: Adam M.

App Store

Effekt: Et fjernangreb kan muligvis bryde ud af webindholdssandboxen

Beskrivelse: Problemet er løst ved forbedret håndtering af protokoller.

CVE-2023-40448: w0wbox

AppleMobileFileIntegrity

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst med yderligere tilladelseskontroller.

CVE-2023-42872: Mickey Jin (@patch1t)

Post tilføjet 22. december 2023

Apple Neural Engine

Fås til enheder med Apple Neural Engine: iPhone XS og nyere modeller, iPad Pro 12,9" (3. generation og nyere modeller)", iPad Pro 11" (1. generation og nyere modeller), iPad Air (3. generation og nyere modeller), iPad (8. generation og nyere modeller) og iPad mini (5. generation og nyere modeller)

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40432: Mohamed GHANNAM (@_simo36)

CVE-2023-41174: Mohamed GHANNAM (@_simo36)

CVE-2023-40409: Ye Zhang (@VAR10CK) fra Baidu Security

CVE-2023-40412: Mohamed GHANNAM (@_simo36)

CVE-2023-42871: Mohamed GHANNAM (@_simo36)

Post opdateret 22. december 2023

Apple Neural Engine

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et use-after-free-problem blev løst ved forbedret hukommelseshåndtering.

CVE-2023-41071: Mohamed GHANNAM (@_simo36)

Apple Neural Engine

Effekt: En app kan muligvis afsløre kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40399: Mohamed GHANNAM (@_simo36)

Apple Neural Engine

Effekt: En app kan muligvis afsløre kernehukommelsen

Beskrivelse: Der var et out-of-bounds-læseproblem, som er løst ved forbedret inputvalidering.

CVE-2023-40410: Tim Michaud (@TimGMichaud) fra Moveworks.ai

Ask to Buy

Effekt: En app kan muligvis få adgang til beskyttede brugerdata

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-38612: Chris Ross (Zoom)

Post tilføjet 22. december 2023

AuthKit

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-32361: Csaba Fitzl (@theevilbit) fra Offensive Security

Biometric Authentication

Effekt: En app kan muligvis afsløre kernehukommelsen

Beskrivelse: Et out-of-bounds-læseproblem er løst via forbedret kontrol af grænser.

CVE-2023-41232: Liang Wei fra PixiePoint Security

Bluetooth

Effekt: En angriber i fysisk nærhed kan forårsage en begrænset out of bounds-skrivning

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-35984: zer0k

bootp

Effekt: En app kan muligvis læse følsomme oplysninger om lokalitet

Beskrivelse: Et anonymitetsproblem er løst ved forbedret redigering af private data for logposter.

CVE-2023-41065: Adam M. og Noah Roskin-Frazee og Professor Jason Lau (ZeroClicks.ai Lab)

CFNetwork

Effekt: En app håndhæver muligvis ikke App Transport Security

Beskrivelse: Problemet er løst ved forbedret håndtering af protokoller.

CVE-2023-38596: Will Brattain fra Trail of Bits

CoreAnimation

Effekt: Behandling af webindhold kan føre til DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40420: 이준성(Junsung Lee) fra Cross Republic

Core Data

Effekt: En app kan muligvis omgå indstillingerne for fortrolighed

Beskrivelse: Problemet blev løst ved at fjerne den sårbare kode.

CVE-2023-40528: Kirin (@Pwnrin) fra NorthSea

Post tilføjet 22. januar 2024

Dev Tools

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2023-32396: Mickey Jin (@patch1t)

Face ID

Fås til: iPhone XS og nyere, 12,9" iPad Pro 2. generation og nyere og 11" iPad Pro 1. generation og nyere

Effekt: En 3D-model, der er bygget til at ligne den tilmeldte bruger, kan godkende via Face ID

Beskrivelse: Problemet er løst ved at forbedre Face ID-modeller, der registrerer snyd.

CVE-2023-41069: Zhice Yang (ShanghaiTech University)

Post tilføjet 22. december 2023

FileProvider

Effekt: En app kan muligvis omgå indstillingerne for fortrolighed

Beskrivelse: Et problem med tilladelser er løst ved yderligere begrænsninger.

CVE-2023-41980: Noah Roskin-Frazee og Professor Jason Lau (ZeroClicks.ai Lab)

Game Center

Effekt: En app kan muligvis få adgang til kontakter

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-40395: Csaba Fitzl (@theevilbit) fra Offensive Security

GPU Drivers

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40431: Certik Skyfall Team

GPU Drivers

Effekt: En app kan muligvis afsløre kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40391: Antonio Zekic (@antoniozekic) fra Dataflow Security

GPU Drivers

Effekt: Behandling af webindhold kan føre til DoS-angreb

Beskrivelse: Et problem med opbrugte ressourcer er løst via forbedret inputvalidering.

CVE-2023-40441: Ron Masas fra Imperva

iCloud Photo Library

Effekt: En app kan muligvis få adgang til en brugers fotobibliotek

Beskrivelse: Der var et konfigurationsproblem, som er løst ved yderligere begrænsninger.

CVE-2023-40434: Mikko Kenttälä (@Turmio_) fra SensorFu

Kernel

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Et use-after-free-problem blev løst ved forbedret hukommelseshåndtering.

CVE-2023-41995: Certik Skyfall Team, pattern-f (@pattern_F_) fra Ant Security Light-Year Lab

CVE-2023-42870: Zweig fra Kunlun Lab

CVE-2023-41974: Félix Poulin-Bélanger

Post opdateret 22. december 2023

Kernel

Effekt: En hacker, der allerede har opnået kørsel af kernekode, kan muligvis være i stand til at omgå løsning af kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-41981: Linus Henze fra Pinauten GmbH (pinauten.de)

Kernel

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-41984: Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd.

Kernel

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et tilladelsesproblem er løst via forbedret godkendelse.

CVE-2023-40429: Michael (Biscuit) Thomas og 张师傅(@京东蓝军)

Kernel

Effekt: En fjernbruger kan få adgang til at køre kernekode

Beskrivelse: Et problem med forveksling af typer er løst via forbedrede kontroller.

CVE-2023-41060: Joseph Ravichandran (@0xjprx) fra MIT CSAIL

Post tilføjet 22. december 2023

libpcap

Effekt: En fjernbruger kan få adgang til at udføre uventet applukning eller køre vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret kontrol.

CVE-2023-40400: Sei K.

libxpc

Effekt: En app kan muligvis slette arkiver, som den ikke har tilladelse til

Beskrivelse: Et problem med tilladelser er løst ved yderligere begrænsninger.

CVE-2023-40454: Zhipeng Huo (@R3dF09) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

libxpc

Effekt: En app kan muligvis få adgang til beskyttede brugerdata

Beskrivelse: Et godkendelsesproblem er løst via forbedret statusadministration.

CVE-2023-41073: Zhipeng Huo (@R3dF09) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

libxslt

Effekt: Behandling af webindhold kan afsløre følsomme oplysninger

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40403: Dohyun Lee (@l33d0hyun) fra PK Security

Maps

Effekt: En app kan muligvis læse følsomme oplysninger om lokalitet

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-40427: Adam M. og Wojciech Regula fra SecuRing (wojciechregula.blog)

MobileStorageMounter

Effekt: En bruger kan muligvis opnå flere rettigheder

Beskrivelse: Et adgangsproblem er løst med forbedrede adgangsbegrænsninger.

CVE-2023-41068: Mickey Jin (@patch1t)

Music

Effekt: En app kan muligvis ændre beskyttede dele af arkivsystemet

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-41986: Gergely Kalman (@gergely_kalman)

Passkeys

Effekt: En hacker kan muligvis få adgang til adgangsnøgler uden godkendelse

Beskrivelse: Problemet er løst med yderligere tilladelseskontroller.

CVE-2023-40401: weize she og en anonym programmør

Post tilføjet 22. december 2023

Photos Storage

Effekt: En app kan muligvis få adgang til redigerede fotos, der er gemt i en midlertidig mappe

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-40456: Kirin (@Pwnrin)

CVE-2023-40520: Kirin (@Pwnrin)

Photos Storage

Effekt: En app med rodrettigheder kan muligvis få adgang til en brugers private oplysninger

Beskrivelse: Et problem med afsløring af oplysninger er løst ved at fjerne den sårbare kode.

CVE-2023-42934: Wojciech Regula fra SecuRing (wojciechregula.blog)

Post tilføjet 22. december 2023

Pro Res

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-41063: Certik Skyfall Team

QuartzCore

Effekt: En app kan forårsage et DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40422: Tomi Tokics (@tomitokics) fra iTomsn0w

Post tilføjet 22. december 2023

Safari

Effekt: En app kan muligvis identificere, hvilke andre apps en bruger har installeret

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-35990: Adriatik Raci fra Sentry Cybersecurity

Safari

Effekt: Et besøg på et websted, som bruger skadeligt indhold, kan medføre manipulering med brugergrænsefladen

Beskrivelse: Et problem med vindueshåndtering blev løst gennem forbedret statusadministration.

CVE-2023-40417: Narendra Bhati (twitter.com/imnarendrabhati) fra Suma Soft Pvt. Ltd

Post opdateret 22. december 2023

Sandbox

Effekt: En app kan muligvis overskrive vilkårlige arkiver

Beskrivelse: Problemet blev løst ved forbedrede kontroller af grænser.

CVE-2023-40452: Yiğit Can YILMAZ (@yilmazcanyigit)

Share Sheet

Effekt: En app kan muligvis få adgang til følsomme data, der logges, når en bruger deler et link

Beskrivelse: Et logikproblem er løst ved forbedret kontrol.

CVE-2023-41070: Kirin (@Pwnrin)

Simulator

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-40419: Arsenii Kostromin (0x3c3e)

Siri

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-40428: Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal

StorageKit

Effekt: En app kan muligvis læse vilkårlige arkiver

Beskrivelse: Problemet er løst via forbedret godkendelse af symbolske links.

CVE-2023-41968: Mickey Jin (@patch1t) og James Hutchins

TCC

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-40424: Arsenii Kostromin (0x3c3e), Joshua Jewett (@JoshJewett33) og Csaba Fitzl (@theevilbit) fra Offensive Security

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et use-after-free-problem blev løst ved forbedret hukommelseshåndtering.

WebKit Bugzilla: 249451
CVE-2023-39434: Francisco Alonso (@revskills) og Dohyun Lee (@l33d0hyun) fra PK Security

WebKit Bugzilla: 258992
CVE-2023-40414: Francisco Alonso (@revskills)

Post opdateret 22. december 2023

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

WebKit Bugzilla: 256551
CVE-2023-41074: 이준성(Junsung Lee) fra Cross Republic og Jie Ding(@Lime) fra HKUS3 Lab

Post opdateret 22. december 2023

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

WebKit Bugzilla: 239758
CVE-2023-35074: Dong Jun Kim (@smlijun) og Jong Seong Kim (@nevul37) fra AbyssLab, og zhunki

Post opdateret 22. januar 2024

WebKit

Effekt: En brugers adgangskode kan muligvis læses højt af VoiceOver

Beskrivelse: Problemet er løst ved forbedret bortredigering af følsomme oplysninger.

WebKit Bugzilla: 248717
CVE-2023-32359: Claire Houston

Post tilføjet 22. december 2023

WebKit

Effekt: Et fjernangreb kan muligvis få adgang til lækkede DNS-forespørgsler, hvis Privat datatrafik er slået til

Beskrivelse: Problemet blev løst ved at fjerne den sårbare kode.

WebKit Bugzilla: 257303
CVE-2023-40385: Anonym

Post tilføjet 22. december 2023

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et problem med nøjagtighed blev løst ved forbedret kontrol.

WebKit Bugzilla: 258592
CVE-2023-42833: Dong Jun Kim (@smlijun) og Jong Seong Kim (@nevul37) fra AbyssLab

Post tilføjet 22. december 2023

Wi-Fi

Effekt: En app kan forårsage uventet systemlukning eller skrivning til kernehukommelsen

Beskrivelse: Et problem med beskadiget hukommelse er løst ved at fjerne den sårbare kode.

CVE-2023-38610: Wang Yu fra Cyberserval

Post tilføjet 22. december 2023

Yderligere anerkendelser

Accessibility

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for hjælpen.

Airport

Vi vil gerne takke Adam M. og Noah Roskin-Frazee og professor Jason Lau (ZeroClicks.ai Lab) for deres hjælp.

Apple Neural Engine

Vi vil gerne takke pattern-f (@pattern_F_) fra Ant Security Light-Year Lab for hjælpen.

Post tilføjet 22. december 2023

AppSandbox

Vi vil gerne takke Kirin (@Pwnrin) for hjælpen.

Audio

Vi vil gerne takke Mickey Jin (@patch1t) for hjælpen.

Bluetooth

Vi vil gerne takke Jianjun Dai og Guang Gong fra 360 Vulnerability Research Institute for deres hjælp.

Books

Vi vil gerne takke Aapo Oksman fra Nixu Cybersecurity for hjælpen.

Control Center

Vi vil gerne takke Chester van den Bogaard for hjælpen.

CoreMedia Playback

Vi vil gerne takke Mickey Jin (@patch1t) for hjælpen.

Data Detectors UI

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for hjælpen.

Draco

Vi vil gerne takke David Coomber for hjælpen.

Find My

Vi vil gerne takke Cher Scarlett for hjælpen.

Home

Vi vil gerne takke Jake Derouin (jakederouin.com) for hjælpen.

IOUserEthernet

Vi vil gerne takke Certik Skyfall Team for hjælpen.

Post tilføjet 22. december 2023

Kernel

Vi vil gerne takke Bill Marczak fra The Citizen Lab i Munk School på University of Toronto, Maddie Stone fra Googles Threat Analysis Group og 永超王 for hjælpen.

Keyboard

Vi vil gerne takke en anonym programmør for hjælpen.

libxml2

Vi vil gerne takke OSS-Fuzz og Ned Williamson fra Google Project Zero for hjælpen.

libxpc

Vi vil gerne takke en anonym programmør for hjælpen.

libxslt

Vi vil gerne takke Dohyun Lee (@l33d0hyun) fra PK Security, OSS-Fuzz og Ned Williamson fra Google Project Zero for deres hjælp.

Menus

Vi vil gerne takke Matthew Denton fra Google Chrome Security for hjælpen.

Post tilføjet 22. december 2023

Notes

Vi vil gerne takke Lucas-Raphael Müller for hjælpen.

Notifications

Vi vil gerne takke Jiaxu Li for hjælpen.

NSURL

Vi vil gerne takke Zhanpeng Zhao (行之) og 糖豆爸爸(@晴天组织) for deres hjælp.

Password Manager

Vi vil gerne takke Hidetoshi Nakamura for hjælpen.

Photos

Vi vil gerne takke Anatolii Kozlov, Dawid Pałuska, Kirin (@Pwnrin), Lyndon Cornelius og Paul Lurin for hjælpen.

Power Services

Vi vil gerne takke Mickey Jin (@patch1t) for hjælpen.

Quick Look

Vi vil gerne takke 이준성(Junsung Lee) fra Cross Republic for hjælpen.

Post tilføjet 22. december 2023

Safari

Vi vil gerne takke Kang Ali fra Punggawa Cyber Security og Andrew James Gonzalez for hjælpen.

Safari Private Browsing

Vi vil gerne takke Khiem Tran, Narendra Bhati fra Suma Soft Pvt. Ltd. og en anonym programmør for hjælpen.

Shortcuts

Vi vil gerne takke Alfie CG, Christian Basting fra Bundesamt für Sicherheit in der Informationstechnik, Cristian Dinca fra "Tudor Vianu" National High School of Computer Science, Rumænien, Giorgos Christodoulidis, Jubaer Alnazi fra TRS Group Of Companies, KRISHAN KANT DWIVEDI (@xenonx7) og Matthew Butler for hjælpen.

Post opdateret 24. april 2024

Siri

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for hjælpen.

Software Update

Vi vil gerne takke Omar Siman for hjælpen.

Spotlight

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal og Dawid Pałuska for hjælpen.

Standby

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for hjælpen.

Status Bar

Vi vil gerne takke N og en anonym programmør for hjælpen.

StorageKit

Vi vil gerne takke Mickey Jin (@patch1t) for hjælpen.

Weather

Vi vil gerne takke Wojciech Regula fra SecuRing (wojciechregula.blog) for hjælpen.

Post tilføjet 22. december 2023

WebKit

Vi vil gerne takke Khiem Tran, Narendra Bhati fra Suma Soft Pvt. Ltd. og en anonym programmør for hjælpen.

WebRTC

Vi vil gerne takke en anonym programmør for hjælpen.

Wi-Fi

Vi vil gerne takke Wang Yu fra Cyberserval for hjælpen.

Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.

Udgivelsesdato: 29. april 2024