Informationen zu Apple-Sicherheitsupdates
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.
Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.
Weitere Informationen zur Sicherheit findest du auf der Seite Sicherheits- oder Datenschutzschwachstelle melden.
iOS 15.7.6 und iPadOS 15.7.6
Veröffentlicht am Donnerstag, 18. Mai 2023
Accessibility
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.
Beschreibung: Ein Datenschutzproblem wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.
CVE-2023-32388: Kirin (@Pwnrin)
Apple Neural Engine
Verfügbar für Geräte mit Apple Neural Engine: iPhone 8 und neuer, iPad Pro (3. Generation und neuer), iPad Air (3. Generation und neuer), iPad mini (5. Generation)
Auswirkung: Eine App kann möglicherweise die Sandbox umgehen.
Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.
CVE-2023-23532: Mohamed Ghannam (@_simo36)
Apple Neural Engine
Verfügbar für Geräte mit Apple Neural Engine: iPhone 8 und neuer, iPad Pro (3. Generation und neuer), iPad Air (3. Generation und neuer), iPad mini (5. Generation)
Auswirkung: Eine App kann möglicherweise erhöhte Benutzerrechte erlangen.
Beschreibung: Das Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2023-32425: Mohamed Ghannam (@_simo36)
Eintrag am 21. Dezember 2023 hinzugefügt
CoreCapture
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Das Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2023-28181: Tingting Yin von der Tsinghua-Universität
ImageIO
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Die Verarbeitung einer Bilddatei kann zur willkürlichen Ausführung von Code führen.
Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.
CVE-2023-32384: Meysam Firouzi @R00tkitsmm in Zusammenarbeit mit Trend Micro Zero Day Initiative
IOSurface
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann möglicherweise einen vertraulichen Kernel-Status preisgeben.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
CVE-2023-32410: Hou Xuewei (@p1ay8y3ar) vmk msu
Kernel
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App in der Sandbox kann möglicherweise systemweite Netzwerkverbindungen überwachen.
Beschreibung: Dieses Problem wurde durch zusätzliche Berechtigungsprüfungen behoben.
CVE-2023-27940: James Duffy (mangoSecure)
Kernel
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann Root-Rechte erlangen.
Beschreibung: Ein Problem mit einer Race-Bedingung wurde durch eine verbesserte Statusverarbeitung behoben.
CVE-2023-32413: Eloi Benoist-Vanderbeken (@elvanderb) von Synacktiv (@Synacktiv) in Zusammenarbeit mit Trend Micro Zero Day Initiative
Kernel
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann willkürlichen Code mit Kernel-Rechten ausführen.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2023-32398: Adam Doupé von ASU SEFCOM
Metal
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Die Privatsphäre-Einstellungen können von einer App möglicherweise umgangen werden.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2023-32407: Gergely Kalman (@gergely_kalman)
NetworkExtension
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann vertrauliche Standortdaten lesen.
Beschreibung: Dieses Problem wurde durch eine verbesserte Weitergabe sensibler Daten behoben.
CVE-2023-32403: Adam M.
Eintrag aktualisiert am 21. Dezember 2023
Photos
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Durch „Zum Widerrufen schütteln“ kann ein gelöschtes Foto ohne Authentifizierung wieder auftauchen.
Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.
CVE-2023-32365: Jiwon Park
Shell
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann möglicherweise geschützte Bereiche des Dateisystems ändern.
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2023-32397: Arsenii Kostromin (0x3c3e)
Shortcuts
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Ein Kurzbefehl kann bei bestimmten Aktionen möglicherweise vertrauliche Daten verwenden, ohne dass der Benutzer eine Aufforderung erhält.
Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.
CVE-2023-32391: Wenchao Li und Xiaolong Bai von der Alibaba Group
Telephony
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Entfernte Angreifer können eine App unerwartet beenden oder willkürlichen Code ausführen.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2023-32412: Ivan Fratric von Google Project Zero
TV App
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.
Beschreibung: Das Problem wurde durch eine verbesserte Verarbeitung der Caches behoben.
CVE-2023-32408: Adam M.
WebKit
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Bei der Verarbeitung von Webinhalten können vertrauliche Informationen offengelegt werden. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.
Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.
WebKit Bugzilla: 254930
CVE-2023-28204: Ein anonymer Forscher
WebKit
Verfügbar für: iPhone 6s (alle Modelle), iPhone 7 (alle Modelle), iPhone SE (1. Generation), iPad Air 2, iPad mini (4. Generation) und iPod touch (7. Generation)
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung eines willkürlichen Codes führen. Apple ist bekannt, dass ein Bericht vorliegt, wonach dieses Problem eventuell aktiv ausgenutzt wurde.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
WebKit Bugzilla: 254840
CVE-2023-32373: Ein anonymer Forscher
Zusätzliche Danksagung
libxml2
Wir möchten uns bei OSS-Fuzz und Ned Williamson von Google Project Zero für die Unterstützung bedanken.
Reminders
Wir möchten uns bei Kirin (@Pwnrin) für die Unterstützung bedanken.
Security
Wir möchten uns bei James Duffy (mangoSecure) für die Unterstützung bedanken.
Wi-Fi
Wir möchten uns für die Unterstützung bei Adam M bedanken.
Eintrag aktualisiert am 21. Dezember 2023