Informationen zum Sicherheitsinhalt von iOS 18.1 und iPadOS 18.1

In diesem Dokument wird der Sicherheitsinhalt von iOS 18.1 und iPadOS 18.1 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Kürzliche Veröffentlichungen werden auf der Seite Apple-Sicherheitsupdates aufgeführt.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

iOS 18.1 und iPadOS 18.1

Veröffentlicht am Montag, 28. Oktober 2024

Accessibility

Verfügbar für: iPhone XS und neuer

Auswirkung: Ein Angreifer mit physischem Zugriff auf ein gesperrtes Gerät kann möglicherweise vertrauliche Benutzerdaten einsehen.

Beschreibung: Das Problem wurde durch verbesserte Authentifizierung behoben.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Verfügbar für: iPhone XS und neuer, iPad Pro (13″), iPad Pro (12,9″, 3. Generation und neuer), iPad Pro (11″, 1. Generation und neuer), iPad Air (3. Generation und neuer), iPad (7. Generation und neuer) und iPad mini (5. Generation und neuer)

Auswirkung: Eine schadhafte App kann möglicherweise ohne Zustimmung des Benutzers willkürliche Kurzbefehle ausführen.

Beschreibung: Ein Pfadbehandlungsproblem wurde durch eine verbesserte Logik behoben.

CVE-2024-44255: Ein anonymer Forscher

AppleAVD

Auswirkung: Die Analyse einer in böser Absicht erstellten Videodatei kann zum unerwarteten Systemabbruch führen.

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-44232: Ivan Fratric von Google Project Zero

CVE-2024-44233: Ivan Fratric von Google Project Zero

CVE-2024-44234: Ivan Fratric von Google Project Zero

Eintrag hinzugefügt am 1. November 2024

Calendar

Auswirkung: Ein Angreifer mit Zugriff auf Kalenderdaten kann möglicherweise auch Erinnerungen lesen.

Beschreibung: Ein Pfadbehandlungsproblem wurde durch eine verbesserte Logik behoben.

CVE-2024-54535: K宝(@Pwnrin)

Eintrag hinzugefügt am 15. Januar 2025

CoreMedia Playback

Auswirkung: Eine in böswilliger Absicht erstellte App kann möglicherweise auf private Daten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Verarbeitung von Symlinks behoben.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell von Loadshine Lab

CoreText

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Schrift kann zur Preisgabe des Prozessspeichers führen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44240: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

Foundation

Auswirkung: Die Analyse einer Datei kann zur Preisgabe von Benutzerinformationen führen

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-44282: Hossein Lotfi (@hosselot) von der Zero Day Initiative von Trend Micro

GPU Drivers

Auswirkung: Eine App kann einen unerwarteten Systemabbruch verursachen.

Beschreibung: Ein Problem mit der Speicherinitialisierung wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-40854: Wang Yu von Cyberserval

Eintrag hinzugefügt am 15. Januar 2025

ImageIO

Auswirkung: Die Verarbeitung einer Bilddatei kann zur Offenlegung des Prozessspeichers führen.

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44215: Junsung Lee in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

ImageIO

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Nachricht kann möglicherweise zu einem Denial-of-Service führen.

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-44297: Jex Amro

IOMobileFrameBuffer

Auswirkung: Ein Angreifer kann möglicherweise einen unerwarteten Systemabbruch oder die Ausführung von willkürlichem Code auf DCP-Firmware verursachen

Beschreibung: Das Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-44299: Ye Zhang (@VAR10CK) von Baidu Security

CVE-2024-44241: Ye Zhang (@VAR10CK) von Baidu Security

CVE-2024-44242: Ye Zhang (@VAR10CK) von Baidu Security

Eintrag am 11. Dezember 2024 hinzugefügt

IOSurface

Auswirkung: Eine App kann einen unerwarteten Systemabbruch oder einen Fehler beim Kernel-Speicher verursachen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-44285: Ein anonymer Forscher

iTunes

Auswirkung: Ein entfernter Angreifer kann möglicherweise die Sandbox für Webinhalte umgehen

Beschreibung: Ein Problem bei der Verwaltung von benutzerdefinierten URL-Schemata wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-40867: Ziyi Zhou (@Shanghai Jiao Tong University), Tianxiao Hou (@Shanghai Jiao Tong University)

Kernel

Auswirkung: Eine App kann möglicherweise einen vertraulichen Kernel-Status preisgeben.

Beschreibung: Ein Problem mit der Offenlegung von Informationen wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

libarchive

Auswirkung: Die Verarbeitung einer in böswilliger Absicht erstellten Datei kann möglicherweise zu einem Denial-of-Service führen

Beschreibung: Das Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-44201: Ben Roeder

Eintrag am 11. Dezember 2024 hinzugefügt

Managed Configuration

Auswirkung: Die Wiederherstellung einer in böswilliger Absicht erstellten Sicherungsdatei kann zur Änderung geschützter Systemdateien führen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Verarbeitung von Symlinks behoben.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Auswirkung: Die Wiederherstellung einer in böswilliger Absicht erstellten Sicherungsdatei kann zur Änderung geschützter Systemdateien führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Dateiverarbeitung behoben.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Auswirkung: Eine App kann einen unerwarteten Systemabbruch oder einen Fehler beim Kernel-Speicher verursachen.

Beschreibung: Das Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-44277: Ein anonymer Forscher und Yinyi Wu(@_3ndy1) vom Dawn Security Lab bei JD.com, Inc.

Safari Downloads

Auswirkung: Ein Angreifer kann möglicherweise eine Vertrauensbeziehung missbrauchen, um in böser Absicht erstellten Inhalt zu laden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-44259: Narendra Bhati, Manager von Cyber Security bei Suma Soft Pvt. Ltd, Pune (Indien)

Safari Private Browsing

Auswirkungen: Beim privaten Surfen kann ein Teil des Browserverlaufs offengelegt werden

Beschreibung: Ein Datenleck wurde durch eine zusätzliche Validierung behoben.

CVE-2024-44229: Lucas Di Tomase

SceneKit

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einer Heapbeschädigung führen

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44218: Michael DePlante (@izobashi) von der Zero Day Initiative von Trend Micro

Sicherheit

Auswirkung: Ein entfernter Angreifer kann einen Denial-of-Service verursachen

Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-54538: Bing Shi, Wenchao Li und Xiaolong Bai von der Alibaba Group und Luyi Xing von der Indiana University Bloomington

Eintrag am 19. Dezember 2024 hinzugefügt

Shortcuts

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Auswirkung: Eine in böser Absicht erstellte App kann möglicherweise Kurzbefehle nutzen, um auf geschützte Dateien zuzugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44269: Kirin (@Pwnrin) und ein anonymer Forscher

Eintrag aktualisiert am 11. Dezember 2024

Siri

Auswirkung: Ein Angreifer mit physischem Zugang kann möglicherweise vom Sperrbildschirm aus auf Kontakte zugreifen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2024-54470: Bistrit Dahal und Kenneth Chew

Eintrag hinzugefügt am 15. Januar 2025

Siri

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Auswirkung: Ein Angreifer mit physischem Zugang kann möglicherweise vom Sperrbildschirm aus auf Kontaktfotos zugreifen.

Beschreibung: Dieses Problem wurde durch Einschränkung der Optionen behoben, die auf einem gesperrten Gerät zur Verfügung stehen.

CVE-2024-40851: Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College Of Technology, Bhopal, Indien, Srijan Poudel

Siri

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-44263: Kirin (@Pwnrin) und 7feilee

Siri

Auswirkung: Eine App in einer Sandbox kann möglicherweise auf vertrauliche Benutzerdaten in Systemprotokollen zugreifen.

Beschreibung: Ein Problem mit der Offenlegung von Informationen wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-44278: Kirin (@Pwnrin)

Siri

Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2024-44200: Cristian Dinca (icmd.tech)

Eintrag am 11. Dezember 2024 hinzugefügt

Spotlight

Auswirkung: Ein Angreifer kann möglicherweise eingeschränkten Inhalt auf dem Sperrbildschirm anzeigen

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-44251: Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College Of Technology, Bhopal, Indien

Spotlight

Auswirkung: Ein Angreifer kann möglicherweise eingeschränkten Inhalt auf dem Sperrbildschirm anzeigen

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-44235: Rizki Maulana (rmrizki.my.id), Dalibor Milanovic, Richard Hyunho Im (@richeeta) von Route Zero Security

VoiceOver

Auswirkung: Ein Angreifer kann möglicherweise eingeschränkten Inhalt auf dem Sperrbildschirm anzeigen

Beschreibung: Dieses Problem wurde durch Einschränkung der Optionen behoben, die auf einem gesperrten Gerät zur Verfügung stehen.

CVE-2024-44261: Braylon (@softwarescool)

Weather

Auswirkung: Eine App kann den aktuellen Standort eines Benutzers bestimmen.

Beschreibung: Dieses Problem wurde durch eine verbesserte Unkenntlichmachung vertraulicher Informationen behoben.

CVE-2024-44290: Kirin (@Pwnrin)

Eintrag am 11. Dezember 2024 hinzugefügt

WebKit

Auswirkung: Cookies von einer Quelle können an eine andere Quelle gesendet werden

Beschreibung: Ein Cookie-Verwaltungsproblem wurde durch eine verbesserte Statusverwaltung behoben.

WebKit Bugzilla: 279226

CVE-2024-44212: Wojciech Regula von SecuRing (wojciechregula.blog)

Eintrag am 11. Dezember 2024 hinzugefügt

WebKit

Auswirkung: Die Verarbeitung von in böswilliger Absicht erstellten Webinhalten kann zur Aushebelung der Inhaltssicherheitsrichtlinie führen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

WebKit Bugzilla: 278765

CVE-2024-44296: Narendra Bhati, Manager von Cyber Security bei Suma Soft Pvt. Ltd, Pune (Indien)

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

WebKit Bugzilla: 279780

CVE-2024-44244: ein anonymer Forscher, Q1IQ (@q1iqF) und P1umer (@p1umer)

Zusätzliche Danksagung

Accessibility

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College of Technology Bhopal India, Chi Yuan Chang von ZUSO ART und taikosoup für die Unterstützung bedanken.

App Store

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College of Technology Bhopal India, Chi Yuan Chang von ZUSO ART und taikosoup und CARRY für die Unterstützung bedanken.

Eintrag aktualisiert am 11. Dezember 2024

Calculator

Wir möchten uns bei Kenneth Chew für die Unterstützung bedanken.

Calendar

Wir möchten uns bei K宝(@Pwnrin) für die Unterstützung bedanken.

Camera

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College Of Technology Bhopal, Indien, für die Unterstützung bedanken.

Files

Wir möchten uns bei Chi Yuan Chang von ZUSO ART und taikosoup sowie bei Christian Scalese für die Unterstützung bedanken.

ImageIO

Wir möchten uns bei Amir Bazine und Karsten König von CrowdStrike Counter Adversary Operations sowie bei einem anonymen Forscher für die Unterstützung bedanken.

Messages

Wir möchten uns bei Collin Potter, M. Aman Shahid (@amansmughal) einem anonymen Forscher für die Unterstützung bedanken.

Eintrag aktualisiert am 15. Januar 2025

NetworkExtension

Wir möchten uns bei Patrick Wardle von DoubleYou und der Objective-See Foundation für die Unterstützung bedanken.

Open vSwitch

Wir möchten uns bei David Coomber für die Unterstützung bedanken.

Eintrag hinzugefügt am 15. Januar 2025

Personalization Services

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College Of Technology, Bhopal, Indien, und Bistrit Dahal für die Unterstützung bedanken.

Photos

Wir möchten uns bei James Robertson und Kamil Bourouiba für die Unterstützung bedanken.

Safari Private Browsing

Wir möchten uns bei einem anonymen Forscher und Jacob Compton für die Unterstützung bedanken.

Eintrag aktualisiert am 11. Dezember 2024

Safari Tabs

Wir möchten uns bei Jaydev Ahire für die Unterstützung bedanken.

Settings

Wir möchten uns bei JS, Srijan Poudel, Abhay Kailasia (@abhay_kailasia) vom LNCT Bhopal und vom C-DAC Thiruvananthapuram India, Chi Yuan Chang von ZUSO ART und taikosoup und CARRY für die Unterstützung bedanken.

Eintrag aktualisiert am 11. Dezember 2024

Shortcuts

Wir möchten uns bei Aaron Schlitt (@aaron_sfn) von Hasso Plattner Institute, Cybersecurity - Mobile & Wireless für die Unterstützung bedanken.

Eintrag hinzugefügt am 15. Januar 2025

Siri

Wir möchten uns bei Bistrit Dahal für die Unterstützung bedanken.

Spotlight

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom LNCT Bhopal und vom C-DAC Thiruvananthapuram India für die Unterstützung bedanken.

Time Zone

Wir möchten uns bei Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College Of Technology, Bhopal, Indien, und Siddharth Choubey für die Unterstützung bedanken.