Om sikkerhedsindholdet i iOS 17.1 og iPadOS 17.1

I dette dokument beskrives sikkerhedsindholdet i iOS 17.1 og iPadOS 17.1.

Om Apple-sikkerhedsopdateringer

Med henblik på beskyttelse af vores kunder videregiver, drøfter eller bekræfter Apple ikke sikkerhedsanliggender, før en undersøgelse har fundet sted, og programrettelser eller versioner er tilgængelige. De nyeste versioner kan ses på siden Apples sikkerhedsudgivelser.

Apples sikkerhedsdokumenter henviser om muligt til sikkerhedsrisici med et CVE-id.

Få flere oplysninger om sikkerhed på siden om Apple-produktsikkerhed.

iOS 17.1 og iPadOS 17.1

Udgivet 25. oktober 2023

Automation

Fås til: iPhone XS og nyere modeller, iPad Pro 12,9" (2. generation og nyere modeller), iPad Pro 10,5", iPad Pro 11" (1. generation og nyere modeller), iPad Air (3. generation og nyere modeller), iPad (6. generation og nyere modeller) og iPad mini (5. generation og nyere modeller)

Effekt: En app med rodrettigheder kan muligvis få adgang til en brugers private oplysninger

Beskrivelse: Problemet blev løst ved forbedrede kontroller.

CVE-2023-42952: Zhipeng Huo (@R3dF09) fra Tencent Security Xuanwu Lab (xlab.tencent.com)

Post tilføjet 16. februar 2024

Contacts

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et anonymitetsproblem er løst ved forbedret redigering af private data for logposter.

CVE-2023-41072: Wojciech Regula fra SecuRing (wojciechregula.blog) og Csaba Fitzl (@theevilbit) fra Offensive Security

CVE-2023-42857: Noah Roskin-Frazee og Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Effekt: En app kan forårsage et DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40449: Tomi Tokics (@tomitokics) fra iTomsn0w

Core Recents

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst ved at rense logføring

CVE-2023-42823

Post tilføjet 16. februar 2024

FairPlay

Effekt: En app kan muligvis få adgang til ekstra rettigheder

Beskrivelse: Problemet blev løst ved forbedrede kontroller af grænser.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14) fra STAR Labs SG Pte. Ltd.

Post tilføjet 16. februar 2024

Find My

Effekt: En app kan muligvis læse følsomme oplysninger om lokalitet

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-40413: Adam M.

Find My

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et fortrolighedsproblem blev løst med forbedret håndtering af arkiver.

CVE-2023-42834: Csaba Fitzl (@theevilbit) fra Offensive Security

Post tilføjet 16. februar 2024

Game Center

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et problem med tilladelser er løst ved yderligere begrænsninger.

CVE-2023-42953: Michael (Biscuit) Thomas - @biscuit@social.lol

Post tilføjet 16. februar 2024

ImageIO

Effekt: Behandling af et billede kan medføre afsløring af proceshukommelse

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40416: JZ

ImageIO

Effekt: Behandling af et skadeligt billede kan medføre beskadigelse af heap

Beskrivelse: Problemet blev løst ved forbedrede kontroller af grænser.

CVE-2023-42848: JZ

Post tilføjet 16. februar 2024

IOTextEncryptionFamily

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40423: en anonym programmør

Kernel

Effekt: En hacker, der allerede har opnået kørsel af kernekode, kan muligvis være i stand til at omgå løsning af kernehukommelsen

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42849: Linus Henze fra Pinauten GmbH (pinauten.de)

libc

Effekt: Behandling af skadeligt input kan muligvis medføre kørsel af vilkårlig kode i brugerinstallerede apps

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-40446: inooo

Post tilføjet 3. november 2023

libxpc

Effekt: En skadelig app kan muligvis få adgang til rodrettigheder

Beskrivelse: Problemet er løst via forbedret håndtering af symbolske links.

CVE-2023-42942: Mickey Jin (@patch1t)

Post tilføjet 16. februar 2024

Mail Drafts

Effekt: Skjul min e-mailadresse kan muligvis uventet blive deaktiveret

Beskrivelse: Et problem med en inkonsekvent brugerflade er løst ved forbedret statusadministration.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Effekt: En enhed kan muligvis spores passivt via enhedens Wi-Fi-MAC-adresse

Beskrivelse: Problemet blev løst ved at fjerne den sårbare kode.

CVE-2023-42846: Talal Haj Bakry og Tommy Mysk fra Mysk Inc. @mysk_co

Passkeys

Effekt: En hacker kan muligvis få adgang til adgangsnøgler uden godkendelse

Beskrivelse: Et logikproblem er løst ved forbedret kontrol.

CVE-2023-42847: en anonym programmør

Photos

Effekt: Billeder i albummet Skjult i Fotos kan muligvis ses uden godkendelse

Beskrivelse: Et godkendelsesproblem er løst via forbedret statusadministration.

CVE-2023-42845: Bistrit Dahal

Post opdateret 16. februar 2024

Pro Res

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu og Guang Gong fra 360 Vulnerability Research Institute

Pro Res

Effekt: En app kan muligvis køre vilkårlig kode med kernerettigheder

Beskrivelse: Problemet blev løst ved forbedret kontrol af grænser.

CVE-2023-42873: Mingxuan Yang (@PPPF00L) og happybabywu og Guang Gong fra 360 Vulnerability Research Institute

Post tilføjet 16. februar 2024

Safari

Effekt: En bruger kan muligvis ikke slette emner i browserhistorikken

Beskrivelse: Problemet er løst ved forbedret håndtering af buffere.

CVE-2023-42951: Adis Alic

Post tilføjet 16. februar 2024

Sandbox

Effekt: En hacker kan muligvis få adgang til tilsluttede netværksenheder i hjemmebiblioteket

Beskrivelse: Et logikproblem er løst ved forbedret kontrol.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Post tilføjet 16. februar 2024

Sandbox

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Problemet er løst ved hjælp af forbedret statusadministration.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Post tilføjet 16. februar 2024

Setup Assistant

Effekt: En hacker med fysisk adgang kan muligvis fastholde et Apple-id på en slettet enhed

Beskrivelse: Problemet er løst ved hjælp af forbedret statusadministration.

CVE-2023-42855: Sam Lakmaker

Post tilføjet 16. februar 2024

Share Sheet

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et anonymitetsproblem er løst ved forbedret redigering af private data for logposter.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula fra SecuRing (wojciechregula.blog) og Cristian Dinca fra "Tudor Vianu" National High School of Computer Science, Rumænien

Post tilføjet 16. februar 2024

Siri

Effekt: En hacker med fysisk adgang kan muligvis bruge Siri til at tilgå følsomme brugerdata

Beskrivelse: Problemet er løst ved at begrænse mulighederne på en låst enhed.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Post opdateret 16. februar 2024

Siri

Effekt: En app kan forårsage, at der lækkes følsomme brugeroplysninger

Beskrivelse: Problemet er løst ved forbedret bortredigering af følsomme oplysninger.

CVE-2023-42946

Post tilføjet 16. februar 2024

Status Bar

Effekt: Låsning af en enhed bliver muligvis ved med at mislykkes

Beskrivelse: Problemet er løst ved forbedret håndtering af brugergrænsefladen.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, en anonym programmør, Lorenzo Cavallaro og Harry Lewandowski

Weather

Effekt: En app kan muligvis få adgang til følsomme brugerdata

Beskrivelse: Et anonymitetsproblem er løst ved forbedret redigering af private data for logposter.

CVE-2023-41254: Cristian Dinca fra "Tudor Vianu" National High School of Computer Science i Rumænien

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성 (Junsung Lee) fra Cross Republic

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et use-after-free-problem blev løst gennem forbedret hukommelseshåndtering.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성 (Junsung Lee)

WebKit

Effekt: Behandling af webindhold kan føre til kørsel af vilkårlig kode

Beskrivelse: Et logikproblem er løst ved forbedret kontrol.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) og Vitor Pedreira (@0xvhp_) fra Agile Information Security

Post opdateret 16. februar 2024

WebKit

Effekt: Besøg på et skadeligt websted kan medføre manipulering med adresselinjen

Beskrivelse: Et problem med en inkonsekvent brugerflade er løst ved forbedret statusadministration.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Post tilføjet 16. februar 2024

WebKit

Effekt: En brugers private browseraktivitet arkiveres muligvis uventet i Rapport om app-anonymitet

Beskrivelse: Et logikproblem er løst ved forbedret kontrol.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal India

Post tilføjet 16. februar 2024

WebKit Process Model

Effekt: Behandling af webindhold kan føre til DoS-angreb

Beskrivelse: Problemet er løst ved forbedret hukommelseshåndtering.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성 (Junsung Lee)

Yderligere anerkendelser

libarchive

Vi vil gerne takke Bahaa Naamneh for hjælpen.

libxml2

Vi vil gerne takke OSS-Fuzz, Ned Williamson fra Google Project Zero for hjælpen.

Power Manager

Vi vil gerne takke Xia0o0o0o (@Nyaaaaa_ovo) fra University of California i San Diego for hjælpen.

ReplayKit

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal for hjælpen.

Post tilføjet 16. februar 2024

VoiceOver

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal i Indien for hjælpen.

WebKit

Vi vil gerne takke en anonym programmør for hjælpen.

WebKit

Vi vil gerne takke Gishan Don Ranasinghe og en anonym programmør for hjælpen.

Post tilføjet 16. februar 2024

WidgetKit

Vi vil gerne takke Abhay Kailasia (@abhay_kailasia) fra Lakshmi Narain College Of Technology Bhopal i Indien for hjælpen.

Post tilføjet 16. februar 2024

Oplysninger om produkter, der ikke er produceret af Apple, eller uafhængige websteder, der ikke styres eller testes af Apple, leveres uden Apples anbefaling eller godkendelse. Apple påtager sig intet ansvar, hvad angår valg, ydeevne eller brug af websteder eller produkter fra andre producenter. Apple giver ingen erklæringer med hensyn til nøjagtigheden eller pålideligheden af websteder fra andre producenter. Kontakt producenten for at få flere oplysninger.

Udgivelsesdato: 27. februar 2024