Tietoja iOS 13.1:n ja iPadOS 13.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 13.1:n ja iPadOS 13.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 13.1 ja iPadOS 13.1

iOS 13.1 ja iPadOS 13.1 sisältävät iOS 13:n turvallisuussisällön.

AppleFirmwareUpdateKext

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2019-8747: Mohamed Ghannam (@_simo36)

Ääni

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-8706: Yu Zhou (Ant-financial Light-Year Security Lab)

Ääni

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen äänitiedoston käsittely saattoi aiheuttaa rajatun muistin paljastumisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8850: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

Kirjat

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen iBooks-tiedoston jäsentäminen saattoi aiheuttaa pysyvän palveluneston.

Kuvaus: Resurssien loppumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8774: Gertjan Franken (imec-DistriNet, KU Leuven)

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2019-8740: Mohamed Ghannam (@_simo36)

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Paikallinen appi saattaa pystyä lukemaan pysyvän tilitunnisteen.

Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.

CVE-2019-8809: Apple

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.

CVE-2019-8780: Siguza

libxslt

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: libxslt:ssä esiintyy useita ongelmia.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2019-8750: ongelman havaitsi OSS-Fuzz

mDNSResponder

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Fyysisesti lähellä oleva hyökkääjä saattaa pystyä passiivisesti havaitsemaan laitteiden nimiä AWDL-tietoliikenteessä.

Kuvaus: Ongelma ratkaistiin korvaamalla laitteiden nimet satunnaisella tunnisteella.

CVE-2019-8799: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Pikakomennot

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Verkkosijaintiin oikeudet saanut hyökkääjä saattoi pystyä sieppaamaan SSH-tietoliikennettä toiminnolla, jolla komentosarja ajetaan SSH:n kautta

Kuvaus: Tämä ongelma on ratkaistu vahvistamalla isäntäavaimet tunnettuun SSH-palvelimeen yhdistettäessä.

CVE-2019-8901: nimetön tutkija

UIFoundation

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8831: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)

VoiceOver

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi käyttää yhteystietoja lukitulta näytöltä.

Kuvaus: Ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2019-8775: videosdebarraquito

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisessa sivustossa käyminen saattoi paljastaa selaushistorian.

Kuvaus: Verkkosivuelementtien piirtämisessä oli ongelma. Ongelma on ratkaistu parantamalla logiikkaa.

CVE-2019-8769: Piérre Reimertz (@reimertz)

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8710: ongelman havaitsi OSS-Fuzz

CVE-2019-8743: zhunki (Codesafe Team, Legendsec, Qi'anxin Group)

CVE-2019-8751: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao

CVE-2019-8752: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao

CVE-2019-8763: Sergei Glazunov (Google Project Zero)

CVE-2019-8765: Samuel Groß (Google Project Zero)

CVE-2019-8766: ongelman havaitsi OSS-Fuzz

CVE-2019-8773: ongelman havaitsi OSS-Fuzz

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.

Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.

CVE-2019-8762: Sergei Glazunov (Google Project Zero)

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2020-9932: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao

Kiitokset

boringssl

Haluamme kiittää Tel Avivin yliopiston Nimrod Aviramia ja Ruhrin yliopiston Bochumin kampuksen Robert Mergetia ja Juraj Somorovskya heidän avustaan.

Etsi iPhoneni

Haluamme kiittää nimetöntä tutkijaa hänen avustaan.

Identity Service

Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.

Kernel

Haluamme kiittää Vlad Tsyrklevichiä hänen avustaan.

Muistiinpanot

Haluamme kiittää nimetöntä tutkijaa hänen avustaan.

Kuvat

Haluamme kiittää Peter Scottia (Sydney, Australia) hänen avustaan.

Jakosivu

Haluamme kiittää Milan Stutea (Secure Mobile Networking Lab, Technische Universität Darmstadt) hänen avustaan.

Tilapalkki

Haluamme kiittää Isaiah Kahleria, Mohammed Adhamia ja nimetöntä tutkijaa heidän avustaan.

Puhelinliikenne

Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.