Tietoja iOS 12.3:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 12.3:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 12.3

Julkaistu 13.5.2019

AppleFileConduit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8593: Dany Lisiansky (@DanyL931)

Yhteystiedot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

CoreAudio

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)

Levytiedostot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2019-8605: Google Project Zeron parissa työskentelevä Ned Williamson

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: ohjelma saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai kirjoittamaan kernel-muistia.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Google Project Zeron parissa työskentelevä Ned Williamson

Lukittu näyttö

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: iOS-laitteen käsiinsä saanut henkilö saattoi nähdä iTunesissa käytettävän sähköpostiosoitteen.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8599: Jeremy Peña-Lopez (alias Radio) (University of North Florida)

Mail

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8626: Natalie Silvanovich (Google Project Zero)

Sähköpostiviestien sovelluskehys

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan mielivaltaisen koodin suorittamisen.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2019-8613: Natalie Silvanovich (Google Project Zero)

MobileInstallation

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

MobileLockdown

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8637: Dany Lisiansky (@DanyL931)

Kuvien tallennus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Käyttöongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2019-8617: nimetön tutkija

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

Tilapalkki

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Lukitusnäytöllä saattoi näkyä lukituksen kuvake lukituksen avaamisen jälkeen.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.

CVE-2019-8630: Jon M. Morlan

StreamingZip

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8574: Dayton Pidhirney (@_watbulb) (Seekintoo, @seekintoo)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: Trend Micron Zero Day Initiativen parissa työskentelevä 01

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja Venustechin ADLabissa työskentelevä dwfault

CVE-2019-8584: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev (MWR Labs)

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: Trend Micro Zero Day Initiativen parissa työskentelevä G. Geshev

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) sekä HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev (MWR Labs)

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: Trend Micron Zero Day Initiativen parissa työskentelevä 01

CVE-2019-8601: Trend Micron Zero Day Initiativen parissa työskentelevä Fluoroacetate

CVE-2019-8608: Trend Micro Zero Day Initiativen parissa työskentelevä G. Geshev

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

CVE-2019-8611: Samuel Groß (Google Project Zero)

CVE-2019-8615: Trend Micron Zero Day Initiativen parissa työskentelevä G. Geshev (MWR Labs)

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

Wi-Fi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Laitetta saatettiin pystyä passiivisesti seuraamaan sen Wi-Fi-yhteyden MAC-osoitteen perusteella.

Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.

CVE-2019-8620: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kiitokset

Clang

Haluamme kiittää Brandon Azadia (Google Project Zero) hänen avustaan.

CoreFoundation

Haluamme kiittää avusta seuraavia: Vozzie, Rami, m4bln, Xiangqian Zhang, Huiming Liu (Tencentin Xuanwu Lab).

Kernel

Haluamme kiittää Brandon Azadia (Google Project Zero) sekä nimetöntä tutkijaa heidän avustaan.

MediaLibrary

Haluamme kiittää Angel Ramirezia ja Min (Spark) Zhengiä sekä Xiaolong Baita (Alibaba Inc.) heidän avustaan.

MobileInstallation

Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.

Safari

Haluamme kiittää Ben Guildia (@benguild) hänen avustaan.

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: