Informationen zu Apple-Sicherheitsupdates
Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen finden Sie auf der Seite Apple-Sicherheitsupdates.
Weitere Informationen zur Sicherheit finden Sie auf der Seite zur Apple-Produktsicherheit. Ihre Kommunikation mit Apple können Sie mit dem PGP-Schlüssel für die Apple-Produktsicherheit verschlüsseln.
Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.
Safari 12
Veröffentlicht am 17. September 2018
Safari
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Eine in böser Absicht erstellte Website kann automatisch ausgefüllte Daten in Safari exfiltrieren
Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2018-4307: Rafay Baloch von der pakistanischen Telekommunikationsbehörde
Eintrag am 24. September 2018 aktualisiert
Safari
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Ein Benutzer kann unter Umständen keine Verlaufsobjekte löschen
Beschreibung: Beim Löschen eines Verlaufsobjekts werden unter Umständen Besuche mit Umleitungsketten nicht gelöscht. Das Problem wurde durch ein verbessertes Löschen von Daten behoben.
CVE-2018-4329: Hugo S. Diaz (coldpointblue)
Eintrag am 24. September 2018 aktualisiert
Safari
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Der Besuch einer in böser Absicht erstellten Website durch Klicken auf einen Link kann zu UI-Spoofing führen
Beschreibung: Ein Problem aufgrund einer uneinheitlichen Benutzeroberfläche wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2018-4195: xisigr vom Xuanwu Lab von Tencent (www.tencent.com)
Eintrag am 24. September 2018 aktualisiert
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Eine in böser Absicht erstellte Website kann unerwartetes Cross-Origin-Verhalten verursachen
Beschreibung: Bei iFrame-Elementen kam es zu einem Cross-Origin-Problem. Dieses Problem wurde durch eine verbesserte Nachverfolgung der Sicherheitsursprünge behoben.
CVE-2018-4319: John Pettitt von Google
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Unerwartete Interaktion verursacht einen ASSERT-Fehler
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.
CVE-2018-4191: gefunden von OSS-Fuzz
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Eine schadhafte Website kann über eine andere Website Skripte ausführen
Beschreibung: In Safari gab es mehrere Cross-Site-Scripting-Probleme. Dieses Problem wurde durch eine verbesserte URL-Überprüfung behoben.
CVE-2018-4309: ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von Trend Micro
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4299: Samuel Groß (saelo) in Zusammenarbeit mit Trend Micro's Zero Day Initiative
CVE-2018-4323: Ivan Fratric von Google Project Zero
CVE-2018-4328: Ivan Fratric von Google Project Zero
CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) in Zusammenarbeit mit Trend Micro's Zero Day Initiative
CVE-2018-4359: Samuel Groß (@5aelo)
CVE-2018-4360: William Bowling (@wcbowling)
Eintrag am 24. September 2018 hinzugefügt und am 24. Oktober 2018 aktualisiert
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Cross-Origin SecurityErrors beinhaltet den Ursprung des Frame, auf den zugegriffen wurde
Beschreibung: Das Problem wurde durch Löschung der Ursprungsinformationen behoben.
CVE-2018-4311: Erling Alf Ellingsen (@steike)
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Eine schadhafte Website kann Bilddaten von verschiedenen Quellen exfiltrieren
Beschreibung: In Safari gab es mehrere Cross-Site-Scripting-Probleme. Dieses Problem wurde durch eine verbesserte URL-Überprüfung behoben.
CVE-2018-4345: ein anonymer Forscher
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Unerwartete Interaktion verursacht einen ASSERT-Fehler
Beschreibung: Ein Problem mit der Speichernutzung wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4361: Gefunden von OSS-Fuzz
Eintrag am 24. September 2018 hinzugefügt und am 24. Oktober 2018 aktualisiert
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.
Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.
CVE-2018-4312: Ivan Fratric von Google Project Zero
CVE-2018-4315: Ivan Fratric von Google Project Zero
CVE-2018-4197: Ivan Fratric von Google Project Zero
CVE-2018-4314: Ivan Fratric von Google Project Zero
CVE-2018-4318: Ivan Fratric von Google Project Zero
CVE-2018-4306: Ivan Fratric von Google Project Zero
CVE-2018-4317: Ivan Fratric von Google Project Zero
Eintrag am 24. September 2018 hinzugefügt
WebKit
Verfügbar für: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 und macOS Mojave 10.14
Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung willkürlichen Codes führen
Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.
CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) von Qihoo 360 Vulcan Team
Eintrag am 24. September 2018 hinzugefügt
Zusätzliche Danksagung
WebKit
Wir danken Cary Hartline, Hanming Zhang vom 360 Vuclan Team, Tencent Keen Security Lab in Zusammenarbeit mit Trend Micro's Zero Day Initiative, und Zach Malone von CA Technologies für ihre Unterstützung.