Tietoja iOS 11.4:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 11.4:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

iOS 11.4

Bluetooth

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Puskurin ylivuoto on korjattu parantamalla koon tarkistusta.

CVE-2018-4215: Abraham Masri (@cheesecakeufo)

Bluetooth

Saatavuus: iPhone X, iPhone 8, iPhone 8 Plus, iPad (6. sukupolvi) ja iPad Air 2

Ei vaikutusta: HomePod

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattaa kyetä katkaisemaan Bluetooth-liikenteen.

Kuvaus: Bluetoothissa oli annettujen tietojen vahvistusongelma. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistusta.

CVE-2018-5383: Lior Neumann ja Eli Biham

Yhteystiedot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen vcf-tiedoston käsittely saattoi johtaa palvelunestoon.

Kuvaus: Puhelinnumeroiden käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla puhelinnumeroiden tarkistamista.

CVE-2018-4100: Abraham Masri (@cheesecakeufo)

CoreGraphics

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4194: Jihui Lu (Tencent KeenLab) ja Yu Zhou (Ant-financial Light-Year Security Lab)

Core Bluetooth

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4330: Apple

FontParser

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2018-4211: Proteas (Qihoo 360 Nirvan Team)

iBooks

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi väärentää iBooksin salasanakehotteita.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2018-4202: Jerry Decime

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Puskurin ylivuoto korjattiin parantamalla rajojen tarkistusta.

CVE-2018-4241: Ian Beer (Google Project Zero)

CVE-2018-4243: Ian Beer (Google Project Zero)

Kernel

Saatavuus: Apple TV 4K ja Apple TV (4. sukupolvi)

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4249: Kevin Backhouse (Semmle Ltd.)

libxpc

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2018-4237: Trend Micron Zero Day Initiativen parissa työskentelevä Samuel Groß (@5aelo)

libxpc

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4404: Trend Micron Zero Day Initiativen parissa työskentelevä Samuel Groß (@5aelo)

Suurennuslasi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi pystyä tarkastelemaan suurennuslasissa viimeisimmäksi käytettyä kuvaa lukitusta näytöstä.

Kuvaus: Suurennuslasissa oli käyttöoikeusongelma. Ongelma on ratkaistu käyttöoikeuksien lisätarkistuksilla.

CVE-2018-4239: nimetön tutkija

Mail

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Hyökkääjä saattoi pystyä aiheuttamaan S/MIME-salatun sähköpostin sisältövuodon.

Kuvaus: Salatun Mailin käsittelyssä oli ongelma. Ongelma on ratkaistu parantamalla MIMEn eristystä Mailissa.

CVE-2018-4227: Damian Poddebniak (Münster University of Applied Sciences), Christian Dresen (Münster University of Applied Sciences), Jens Müller (Ruhr University Bochum), Fabian Ising (Münster University of Applied Sciences), Sebastian Schinzel (Münster University of Applied Sciences), Simon Friedberger (KU Leuven), Juraj Somorovsky (Ruhr University Bochum) ja Jörg Schwenk (Ruhr University Bochum)

Viestit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä suorittamaan tekeytymishyökkäyksiä.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla tietojen syötön tarkistusta.

CVE-2018-4235: Anurodh Pokharel (Salesforce.com)

Viestit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistamista.

CVE-2018-4240: Sriram (@Sri_Hxor, PrimeFort Pvt. Ltd)

CVE-2018-4250: Metehan Yılmaz (Sesim Sarpkaya)

Safari

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallinen verkkosivusto saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla vahvistamista.

CVE-2018-4247: François Renaud, Jesse Viviano (Verizon Enterprise Solutions)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Asiakasvarmenteita käyttävät haitalliset verkkosivustot saattoivat jäljittää käyttäjiä.

Kuvaus: S-MIME-varmenteiden käsittelyssä oli ongelma. Ongelma on ratkaistu parantamalla S-MIME-varmenteiden validointia.

CVE-2018-4221: Damian Poddebniak (Münster University of Applied Sciences), Christian Dresen (Münster University of Applied Sciences), Jens Müller (Ruhr University Bochum), Fabian Ising (Münster University of Applied Sciences), Sebastian Schinzel (Münster University of Applied Sciences), Simon Friedberger (KU Leuven), Juraj Somorovsky (Ruhr University Bochum) ja Jörg Schwenk (Ruhr University Bochum)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä lukemaan pysyvän tilitunnuksen.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2018-4223: Abraham Masri (@cheesecakeufo)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä lukemaan pysyvän laitetunnisteen.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2018-4224: Abraham Masri (@cheesecakeufo)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan avainnipun tilaa.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2018-4225: Abraham Masri (@cheesecakeufo)

Suojaus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä tarkastelemaan arkaluontoisia käyttäjätietoja.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2018-4226: Abraham Masri (@cheesecakeufo)

Siri

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi pystyä ottamaan Sirin käyttöön lukitusta näytöstä.

Kuvaus: Sirin käyttöoikeuksissa ilmeni ongelma. Ongelma on ratkaistu parantamalla lupien tarkistamista.

CVE-2018-4238: Baljinder Singh, Muhammad khizer javed ja Onur Can BIKMAZ (@CanBkmaz, Mustafa Kemal University)

Siri

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi lukea Sirin avulla ilmoituksia koskien sellaista sisältöä, jota ei ollut määritetty näytettäväksi lukitussa näytössä.

Kuvaus: Sirin käyttöoikeuksissa ilmeni ongelma. Ongelma on ratkaistu parantamalla lupien tarkistamista.

CVE-2018-4252: Hunter Byrnes ja Martin Winkelmann (@Winkelmannnn)

Siri-yhteystiedot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä tarkastelemaan yksityisiä yhteystietoja.

Kuvaus: Sirin käyttöoikeuksissa ilmeni ongelma. Ongelma on ratkaistu parantamalla lupien tarkistamista.

CVE-2018-4244: nimetön tutkija

UIKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen tekstitiedoston käsittely saattoi johtaa palvelunestoon.

Kuvaus: Tekstin käsittelyssä oli tarkistamisongelma. Ongelma on ratkaistu parantamalla tekstin tarkistamista.

CVE-2018-4198: Hunter Byrnes

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa osoiterivin väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2018-4188: YoKo Kho (@YoKoAcc) (Mitra Integrasi Informatika, PT)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4201: nimetön tutkija

CVE-2018-4218: natashenka (Google Project Zero)

CVE-2018-4233: Trend Micron Zero Day Initiativen parissa työskentelevä Samuel Gross (@5aelo)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4199: Trend Micron Zero Day Initiativen parissa työskentelevät Alex Plaskett, Georgi Geshev ja Fabi Beterke (MWR Labs)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa evästeiden korvaamisen.

Kuvaus: Selaimen evästeiden käsittelyssä oli käyttöoikeusongelma. Ongelma on ratkaistu parantamalla rajoituksia.

CVE-2018-4232: nimetön tutkija, Aymeric Chaib

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Kilpailutilanne on ratkaistu parantamalla lukitusta.

CVE-2018-4192: Markus Gaasedelen, Amy Burnett ja Patrick Biernat (Ret2 Systems, Inc) yhteistyössä Trend Micron Zero Day Initiativen kanssa

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4214: ongelman havaitsi OSS-Fuzz

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4204: ongelman havaitsi OSS-Fuzz, Trend Micron Zero Day Initiativen parissa työskentelevä Richard Zhu (fluorescence)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2018-4246: ongelman havaitsi OSS-Fuzz

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisella verkkosivustolla käynti saattoi vuotaa arkaluontoisia tietoja.

Kuvaus: Tunnistetiedot lähetettiin odottamatta haettaessa CSS-maskikuvia. Ongelma korjattiin CORS-yhteensopivalla hakumenetelmällä.

CVE-2018-4190: Jun Kokatsu (@shhnjk)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2018-4222: natashenka (Google Project Zero)