Informationen zum Sicherheitsinhalt von iOS 13

In diesem Dokument wird der Sicherheitsinhalt von iOS 13 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Die neuesten Programmversionen findest du auf der Seite Apple-Sicherheitsupdates.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

iOS 13

Bluetooth

Verfügbar für: iPhone 6s und neuer

Auswirkung: Mitteilungsvorschauen werden möglicherweise auf Bluetooth-Geräten angezeigt, selbst wenn Vorschauen deaktiviert sind

Beschreibung: Bei der Anzeige von Mitteilungsvorschauen bestand ein Logikproblem. Dieses Problem wurde durch eine verbesserte Prüfung behoben.

CVE-2019-8711: Arjang von MARK ANTHONY GROUP INC., Cemil Ozkebapci (@cemilozkebapci) von Garanti BBVA, Oguzhan Meral von Deloitte Consulting, Ömer Bozdoğan-Ramazan Atıl Anadolu Lisesi Adana/TÜRKEI

Anrufverlauf

Verfügbar für: iPhone 6s und neuer

Auswirkung: Gelöschte Anrufe blieben auf dem Gerät sichtbar

Beschreibung: Das Problem wurde durch ein verbessertes Löschen von Daten behoben.

CVE-2019-8732: Mohamad El-Zein Berlin

CFNetwork

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem Cross-Site-Scripting-Angriff führen

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

CVE-2019-8753: Łukasz Pilorz von Standard Chartered GBS Poland

CoreAudio

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung eines in böser Absicht erstellten Films kann zur Preisgabe des Prozessspeichers führen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Überprüfung behoben.

CVE-2019-8705: riusksk von VulWar Corp in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CoreAudio

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Wiedergabe einer in böser Absicht erstellten Audiodatei kann zur Ausführung willkürlichen Codes führen

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2019-8592: riusksk von VulWar Corp in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CoreCrypto

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung einer großen Eingabe kann zu einem Denial-of-Service führen.

Beschreibung: Ein Denial-of-Service-Problem wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2019-8741: Nicky Mouha von NIST

CoreMedia

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8825: gefunden von GWP-ASan in Google Chrome

Face ID

Verfügbar für: iPhone X und neuer

Auswirkung: Ein 3D-Modell, das so konstruiert ist, dass es so wie der registrierte Benutzer aussieht, kann sich über Face ID authentifizieren

Beschreibung: Dieses Problem wurde durch verbesserte Machine-Learning-Modelle für Face ID behoben.

CVE-2019-8760: Wish Wu (吴潍浠 @wish_wu) vom Ant-Financial Light-Year Security Lab

Foundation

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein entfernter Angreifer kann einen unerwarteten Programmabbruch oder die Ausführung willkürlichen Codes verursachen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2019-8641: Samuel Groß und natashenka von Google Project Zero

CVE-2019-8746: natashenka und Samuel Groß von Google Project Zero

IOUSBDeviceFamily

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8718: Joshua Hill und Sem Voigtländer

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Eine Anwendung kann möglicherweise erhöhte Benutzerrechte erlangen.

Beschreibung: Dieses Problem wurde durch verbesserte Berechtigungen behoben.

CVE-2019-8703: Ein anonymer Forscher

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Eine lokale App könnte einen Persistent Identifier für einen Account abrufen.

Beschreibung: Ein Überprüfungsproblem wurde mit einer verbesserten Logik behoben.

CVE-2019-8809: Apple

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8712: Mohamed Ghannam (@_simo36)

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Das Layout des Kernelspeichers kann möglicherweise von einem Schadprogramm ermittelt werden.

Beschreibung: Bei der Verarbeitung von IPv6-Paketen trat ein Speicherfehler auf. Dieses Problem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8744: Zhuo Liang vom Qihoo 360 Vulcan Team

Kernel

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Programm kann möglicherweise willkürlichen Code mit Kernel-Rechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8717: Jann Horn von Google Project Zero

Tastaturen

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein lokaler Nutzer kann vertrauliche Benutzerdaten preisgeben.

Beschreibung: Ein Authentifizierungsproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) von SAINTSEC

libxml2

Verfügbar für: iPhone 6s und neuer

Auswirkung: Mehrere Probleme in libxml2

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2019-8749: gefunden von OSS-Fuzz

CVE-2019-8756: gefunden von OSS-Fuzz

Nachrichten

Verfügbar für: iPhone 6s und neuer

Auswirkung: Eine Person mit physischem Zugang zu einem iOS-Gerät kann vom Sperrbildschirm aus auf Kontakte zugreifen.

Beschreibung: Dieses Problem wurde durch Einschränkung der Optionen behoben, die auf einem gesperrten Gerät zur Verfügung stehen.

CVE-2019-8742: videosdebarraquito

Hinweise

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein lokaler Benutzer könnte in der Lage sein, die gelöschten Notizen eines Benutzers zu sehen.

Beschreibung: Die Inhalte gesperrter Notizen erschienen manchmal in den Suchergebnissen. Dieses Problem wurde durch eine verbesserte Datenbereinigung behoben.

CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) von der Virginia Polytechnic Institute and State University

PluginKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein lokaler Benutzer kann die Existenz willkürlicher Dateien überprüfen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Einschränkungen behoben.

CVE-2019-8708: Ein anonymer Forscher

PluginKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Programm kann beliebigen Code mit Systemrechten ausführen.

Beschreibung: Ein Speicherfehler wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8715: Ein anonymer Forscher

Übersicht

Verfügbar für: iPhone 6s und neuer

Auswirkung: Durch die Verarbeitung einer in böser Absicht erstellten Datei können möglicherweise Benutzerinformationen offengelegt werden

Beschreibung: Aufgrund eines Berechtigungsproblems wurden unzulässige Ausführungsberechtigungen erteilt. Dieses Problem wurde durch eine verbesserte Berechtigungsüberprüfung behoben.

CVE-2019-8731: Saif Hamed Hamdan Al Hinai von Oman National CERT, Yiğit Can YILMAZ (@yilmazcanyigit)

Safari

Verfügbar für: iPhone 6s und neuer

Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu URL-Spoofing führen

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8727: Divyanshu Shukla (@justm0rph3u5)

UIFoundation

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Textdatei kann zur Ausführung willkürlichen Codes führen.

Beschreibung: Ein Problem mit einem Pufferüberlauf wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2019-8745: riusksk von VulWar Corp in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WebKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: In böser Absicht erstellte Webinhalte können gegen die iframe-Sandbox-Richtlinie verstoßen

Beschreibung: Dieses Problem wurde durch verbesserte Durchsetzung von iframe-Sandbox behoben.

CVE-2019-8771: Eliya Stein von Confiant

WebKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu universellem Cross-Site-Scripting führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8625: Sergei Glazunov von Google Project Zero

CVE-2019-8719: Sergei Glazunov von Google Project Zero

CVE-2019-8764: Sergei Glazunov von Google Project Zero

WebKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von willkürlichem Code führen.

Beschreibung: Mehrere Speicherfehler wurden durch eine verbesserte Speicherverwaltung behoben.

CVE-2019-8707: Ein anonymer Forscher in Zusammenarbeit mit der Zero Day Initiative von Trend Micro, cc in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

CVE-2019-8726: Jihui Lu von Tencent KeenLab

CVE-2019-8728: Junho Jang vom LINE Security Team und Hanul Choi von der ABLY Corporation

CVE-2019-8733: Sergei Glazunov von Google Project Zero

CVE-2019-8734: gefunden von OSS-Fuzz

CVE-2019-8735: G. Geshev in Zusammenarbeit mit der Zero Day Initiative von Trend Micro

WebKit

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Benutzer kann unter Umständen keine Verlaufsobjekte löschen.

Beschreibung: "Verlauf und Websitedaten löschen" hat den Verlauf nicht vollständig gelöscht. Das Problem wurde durch ein verbessertes Löschen von Daten behoben.

CVE-2019-8768: Hugo S. Diaz (coldpointblue)

Laden von WebKit-Seiten

Verfügbar für: iPhone 6s und neuer

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu universellem Cross-Site-Scripting führen.

Beschreibung: Ein Logikproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2019-8674: Sergei Glazunov von Google Project Zero

WLAN

Verfügbar für: iPhone 6s und neuer

Auswirkung: Ein Gerät kann möglicherweise durch seine WLAN-MAC-Adresse passiv nachverfolgt werden.

Beschreibung: Ein Problem mit dem Datenschutz von Benutzerdaten wurde behoben, indem die Broadcast-MAC-Adresse entfernt wurde.

CVE-2019-8854: Ta-Lun Yen vom UCCU Hacker and FuriousMacTeam der United States Naval Academy und von der Mitre Cooperation

Zusätzliche Danksagung

AppleRTC

Wir möchten uns bei Vitaly Cheptsov für die Unterstützung bedanken.

Audio

Wir danken riusksk von VulWar Corp in Zusammenarbeit mit der Zero Day Initiative von Trend Micro für die Unterstützung.

Bluetooth

Wir möchten uns bei Jan Ruge vom Secure Mobile Networking Lab an der TU Darmstadt, Jiska Classen vom Secure Mobile Networking Lab an der TU Darmstadt, Francesco Gringoli von der University of Brescia, Dennis Heinze vom Secure Mobile Networking Lab an der TU Darmstadt bedanken.

boringssl

Wir danken Thijs Alkemade (@xnyhps) von Computest für die Unterstützung.

Kontrollzentrum

Wir möchten uns bei Brandon Sellers für die Unterstützung bedanken.

HomeKit

Wir möchten uns bei Tian Zhang für die Unterstützung bedanken.

Kernel

Wir möchten uns bei Brandon Azad von Google Project Zero für die Unterstützung bedanken.

Tastatur

Wir möchten Sara Haradhvala von Harlen Web Consulting, und einem anonymen Forscher, für die Unterstützung danken.

Mail

Wir möchten uns bei Kenneth Hyndycz für die Unterstützung bedanken.

mDNSResponder

Wir möchten uns bei Gregor Lang von der e.solutions GmbH für die Unterstützung bedanken.

Profile

Wir möchten uns bei Erik Johnson von der Vernon Hills High School, James Seeley (@Code4iOS) von Shriver Job Corps und James Seeley (@Code4iOS) von Shriver Job Corps für die Unterstützung bedanken.

SafariViewController

Wir möchten uns bei Yiğit Can YILMAZ (@yilmazcanyigit) für die Unterstützung bedanken.

VPN

Wir möchten uns bei Royce Gawron von Second Son Consulting, Inc. für die Unterstützung bedanken.

WebKit

Wir möchten uns bei MinJeong Kim vom Information Security Lab von der Chungnam National University, JaeCheol Ryou vom Information Security Lab von der Chungnam National University in Südkorea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao vom DBAPPSecurity Zion Lab, einem anonymen Forscher, cc in Zusammenarbeit mit der Zero Day Initiative von Trend Micro, für die Unterstützung bedanken.