Tietoja iOS 11.3:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 11.3:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

iOS 11.3

Julkaistu 29.3.2018

Apple TV -appi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi väärentää Apple TV -apin salasanakehotteita.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2018-4177: Jerry Decime

Kohta lisätty 13.4.2018

Kello

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: iOS-laitteen käsiinsä saanut henkilö saattoi nähdä iTunesissa käytettävän sähköpostiosoitteen.

Kuvaus: Hälytysten ja ajastimien käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla käyttörajoituksia.

CVE-2018-4123: Zaheen Hafzar M M (@zaheenhafzer)

CoreFoundation

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4155: Samuel Groß (@5aelo)

CVE-2018-4158: Samuel Groß (@5aelo)

CoreText

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen merkkijonon käsittely saattoi johtaa palvelunestoon.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4142: Robin Leroy (Google Switzerland GmbH)

Tiedostojärjestelmän tapahtumat

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4167: Samuel Groß (@5aelo)

Tiedosto-widgetti

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Tiedosto-widgetti saattoi näyttää lukitun laitteen sisältöä.

Kuvaus: Tiedosto-widgetti näytti välimuistissa olevia tietoja lukitussa tilassa. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2018-4168: Brandon Moore

Etsi iPhoneni

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Laitteen käsiinsä saanut henkilö saattoi pystyä poistamaan Etsi iPhoneni -toiminnon käytöstä antamatta iCloud-salasanaa.

Kuvaus: Järjestelmässä ilmeni tilanhallintaongelma varmuuskopiosta palauttamisen yhteydessä. Ongelma on ratkaistu parantamalla tilan tarkistusta palautuksen aikana.

CVE-2018-4172: Viljami Vastamäki

iCloud Drive

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4151: Samuel Groß (@5aelo)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4150: nimetön tutkija

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2018-4104: Ison-Britannian National Cyber Security Centre (NCSC)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4143: derrek (@derrekr6)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

Kuvaus: Ohjelman tilan siirtymisessä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla tilankäsittelyä.

CVE-2018-4185: Brandon Azad

Kohta lisätty 19.7.2018

Mail

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä sieppaamaan S/MIME-salatun sähköpostin sisällön.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2018-4174: John McCombs (Integrated Mapping Ltd), McClain Looney (LoonSoft Inc.)

Kohta päivitetty 13.4.2018

NSURLSession

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4166: Samuel Groß (@5aelo)

PluginKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4156: Samuel Groß (@5aelo)

Pikakatselu

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4157: Samuel Groß (@5aelo)

Safari

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Siirtyminen haitalliselle verkkosivustolle klikkaamalla linkkiä saattoi johtaa käyttöliittymän väärentämiseen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2018-4134: xisigr (Tencentin Xuanwu Lab, tencent.com), Zhiyang Zeng (@Wester) (Tencent Security Platform Department)

Safarin kirjautumisen automaattinen täyttö

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallinen verkkosivusto saattoi pystyä täyttämään tietoja automaattisesti Safariin pyytämättä käyttäjää tekemään mitään.

Kuvaus: Safarin automaattinen täyttö ei edellyttänyt käyttäjän toimia. Ongelma on ratkaistu parantamalla automaattisen täytön heuristiikkaa.

CVE-2018-4137

SafariViewController

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: Tilanhallinnan ongelma ratkaistiin poistamalla tekstinsyöttö käytöstä, kunnes kohdesivu on latautunut.

CVE-2018-4149: Abhinash Jain (@abhinashjain)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Puskurin ylivuoto on korjattu parantamalla koon tarkistusta.

CVE-2018-4144: Abraham Masri (@cheesecakeufo)

Tilapalkki

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi päästä käyttämään mikrofonia ilman ilmoitusta käyttäjälle.

Kuvaus: Mikrofonin käytön ilmaisimen näyttämisessä oli yhdenmukaisuusongelma. Ongelma on ratkaistu parantamalla valmiuksien validointia.

CVE-2018-4173: Joshua Pokotilow (pingmd)

Kohta lisätty 9.4.2018

Tallennus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Kilpailutilanne on käsitelty lisätarkistuksilla.

CVE-2018-4154: Samuel Groß (@5aelo)

Järjestelmäasetukset

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Määritysprofiili saattoi jäädä virheellisesti voimaan poiston jälkeen.

Kuvaus: CFPreferences-ohjelmointirajapinnassa oli ongelma. Ongelma on ratkaistu parantamalla asetusten puhdistusta.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov ja Matt Vlasach (Wandera)

Puhelinliikenne

Saatavuus: iPhone 5s ja uudemmat sekä iPad Airin ja uudempien WiFi + Cellular -mallit

Vaikutus: Etähyökkääjä saattoi saada laitteen käynnistymään uudelleen odottamatta.

Kuvaus: Luokan 0 tekstiviestien käsittelyssä oli nollaosoittimen epäviittausongelma. Ongelma on ratkaistu parantamalla viestien tarkistusta.

CVE-2018-4140: @mjonsson, Arjan van der Oest (Voiceworks BV)

Kohta päivitetty 30.3.2018

Puhelinliikenne

Saatavuus: iPhone 5s ja uudemmat sekä iPad Airin ja uudempien WiFi + Cellular -mallit

Vaikutus: Etähyökkääjä saattoi pystyä suorittamaan mielivaltaista koodia.

Kuvaus: Useiden puskurien ylivuodot ratkaistiin parantamalla annettujen tietojen tarkistamista.

CVE-2018-4148: Nico Golde (Comsecuris UG)

Kohta lisätty 30.3.2018

Verkkoappi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Evästeet saattoivat odottamatta jäädä verkkoappiin pysyvästi.

Kuvaus: Evästeidenhallintaan liittyvä ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2018-4110: Ben Compton ja Jason Colley (Cerner Corporation)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4101: Yuan Deng (Ant-financial Light-Year Security Lab)

CVE-2018-4114: ongelman havaitsi OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija

CVE-2018-4120: Hanming Zhang (@4shitak4) (Qihoo 360 Vulcan Team)

CVE-2018-4121: Natalie Silvanovich (Google Project Zero)

CVE-2018-4122: WanderingGlitch (Trend Micron Zero Day Initiative)

CVE-2018-4125: WanderingGlitch (Trend Micron Zero Day Initiative)

CVE-2018-4127: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija

CVE-2018-4128: Zach Markley

CVE-2018-4129: Trend Micron Zero Day Initiativen parissa työskentelevä likemeng (Baidu Security Lab)

CVE-2018-4130: Trend Micron Zero Day Initiativen parissa työskentelevä Omair

CVE-2018-4161: WanderingGlitch (Trend Micron Zero Day Initiative)

CVE-2018-4162: WanderingGlitch (Trend Micron Zero Day Initiative)

CVE-2018-4163: WanderingGlitch (Trend Micron Zero Day Initiative)

CVE-2018-4165: Hanming Zhang (@4shitak4) (Qihoo 360 Vulcan Team)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton indeksointityyppien vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Javascript-ytimen toiminnon käsittelyssä oli järjestelmän indeksointiongelma. Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4113: ongelman havaitsi OSS-Fuzz

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista

CVE-2018-4146: ongelman havaitsi OSS-Fuzz

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: Nouto-APIssa oli ristikkäistä alkuperää oleva ongelma. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2018-4117: nimetön tutkija, nimetön tutkija

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4207: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4208: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4209: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton indeksointityyppien vuorovaikutus aiheutti virheen.

Kuvaus: Javascript-ytimen toiminnon käsittelyssä oli järjestelmän indeksointiongelma. Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4210: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4212: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Odottamaton vuorovaikutus aiheutti ASSERT-virheen.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2018-4213: ongelman havaitsi OSS-Fuzz

Kohta lisätty 2.5.2018

WindowServer

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Valtuuttamaton appi saattoi pystyä kirjaamaan toisiin appeihin syötetyt näppäinpainallukset myös suojatussa syöttötilassa.

Kuvaus: Valtuuttamaton appi saattoi kirjata toisiin appeihin syötetyt näppäinpainallukset myös suojatussa syöttötilassa tarkistamalla näppäinten tilat. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2018-4131: Andreas Hegenberg (folivora.AI GmbH)

Kiitokset

Mail

Haluamme kiittää Wire Swiss GmbH:n Sabri Haddouchea (@pwnsdx) hänen avustaan.

Kohta lisätty 21.6.2018

Suojaus

Haluamme kiittää Abraham Masria (@cheesecakeufo) hänen avustaan.

Kohta lisätty 13.4.2018

WebKit

Haluamme kiittää Tinder Security Teamin Johnny Nipperiä hänen avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: