Tietoja iOS 12.3:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 12.3:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 12.3

AppleFileConduit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8593: Dany Lisiansky (@DanyL931)

Bluetooth

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: FIDO Security Keyn Bluetooth Low Energy (BLE) -version Bluetooth-parinmuodostuksen protokolla on määritetty virheellisesti, minkä vuoksi lähellä oleva hyökkääjä saattaa pystyä kaappaamaan Bluetooth-liikenteen parinmuodostuksen aikana.

Kuvaus: Ongelma ratkaistiin poistamalla käytöstä lisävarusteet, joiden Bluetooth-yhteys on suojaamaton. Asiakkaiden, jotka käyttävät Googlen Titan Security Keyn Bluetooth Low Energy (BLE) -versiota, tulee tutustua Androidin kesäkuun tiedotteisiin ja Googlen varoituksiin ja tehdä tarvittavat toimet.

CVE-2019-2102: Matt Beaver ja Erik Peterson (Microsoft Corp).

Yhteystiedot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

CoreAudio

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen elokuvatiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8585: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreAudio

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla virheiden käsittelyä.

CVE-2019-8592: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CoreText

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.

CVE-2019-8582: riusksk (VulWar Corp) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Levytiedostot

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8560: Nikita Pupyshev (Bauman Moscow State Technological University)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8633: Zhuo Liang (Qihoo 360 Vulcan Team)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai lukemaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin luku ratkaistiin parantamalla rajojen tarkistusta.

CVE-2019-8576: Brandon Azad (Google Project Zero), Junho Jang ja Hanul Choi (LINE Security Team)

Kernel

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: Tyyppisekaannusongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8591: Ned Williamson yhteistyössä Google Project Zeron kanssa

Lukittu näyttö

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: iOS-laitteen käsiinsä saanut henkilö saattoi nähdä iTunesissa käytettävän sähköpostiosoitteen.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2019-8599: Jeremy Peña-Lopez (alias Radio) (University of North Florida)

Mail

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8626: natashenka (Google Project Zero)

Sähköpostiviestien sovelluskehys

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan mielivaltaisen koodin suorittamisen.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2019-8613: natashenka (Google Project Zero)

Viestit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etähyökkääjä saattoi pystyä aiheuttamaan järjestelmän palveluneston.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8573: natashenka (Google Project Zero)

Viestit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen viestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8664: natashenka (Google Project Zero)

Viestit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: iMessage-keskusteluista poistetut henkilöt saattoivat edelleen pystyä muuttamaan tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8631: Jamie Bishop (Dynastic)

MobileInstallation

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

MobileLockdown

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8637: Dany Lisiansky (@DanyL931)

Kuvien tallennus

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Eristetty prosessi saattoi pystyä kiertämään eristysrajoitukset.

Kuvaus: Käyttöongelma on ratkaistu lisäämällä eristysrajoituksia.

CVE-2019-8617: nimetön tutkija

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla muistin käsittelyä.

CVE-2019-8577: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallinen SQL-kysely saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8600: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla annettujen tietojen tarkistusta.

CVE-2019-8598: Omer Gull (Checkpoint Research)

SQLite

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2019-8602: Omer Gull (Checkpoint Research)

Tilapalkki

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Lukitusnäytöllä saattoi näkyä lukituksen kuvake lukituksen avaamisen jälkeen.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.

CVE-2019-8630: Jon M. Morlan

StreamingZip

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8568: Dany Lisiansky (@DanyL931)

sysdiagnose

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.

CVE-2019-8574: Dayton Pidhirney (@_watbulb), Seekintoo (@seekintoo)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa prosessimuistin paljastumiseen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8607: Junho Jang ja Hanul Choi (LINE Security Team)

WebKit

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-6237: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa, Liu Long (Qihoo 360 Vulcan Team)

CVE-2019-8571: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8583: sakura (Tencent Xuanwu Lab), jessica (@babyjess1ca_) (Tencent Keen Lab) ja dwfault (Venustechin ADLab)

CVE-2019-8584: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8586: nimetön tutkija

CVE-2019-8587: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8594: Suyoung Lee ja Sooel Son (KAIST Web Security & Privacy Lab) ja HyungSeok Han ja Sang Kil Cha (KAIST SoftSec Lab)

CVE-2019-8595: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8596: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8597: 01 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8601: Fluoroacetate yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8608: G. Geshev yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8609: Wen Xu (SSLab, Georgia Tech)

CVE-2019-8610: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö

CVE-2019-8611: Samuel Groß (Google Project Zero)

CVE-2019-8615: G. Geshev (MWR Labs) yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2019-8619: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

CVE-2019-8622: Samuel Groß (Google Project Zero)

CVE-2019-8623: Samuel Groß (Google Project Zero)

CVE-2019-8628: Wen Xu (SSLab, Georgia Tech) ja Hanqing Zhao (Chaitin Security Research Lab)

Wi-Fi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi muokkaamaan ajurin tilaa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8612: Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Wi-Fi

Saatavuus: iPhone 5s ja uudemmat, iPad Air ja uudemmat ja iPod touch (6. sukupolvi)

Vaikutus: Laitetta saatettiin pystyä passiivisesti seuraamaan sen Wi-Fi-yhteyden MAC-osoitteen perusteella.

Kuvaus: Käyttäjän tietosuojaongelma on ratkaistu poistamalla lähetetty MAC-osoite.

CVE-2019-8620: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)

Kiitokset

Clang

Haluamme kiittää Brandon Azadia (Google Project Zero) hänen avustaan.

CoreAudio

Haluamme kiittää Trend Micron Zero Day Initiativen parissa työskentelevää riuskskia (VulWar Corp) hänen avustaan.

CoreFoundation

Haluamme kiittää m4bln:ää, Xiangqian Zhangia, Huiming Liuta (Tencent Xuanwu Lab), Vozzieta ja Ramia heidän avustaan.

Kernel

Haluamme kiittää Denis Kopyriniä ja Brandon Azadia (Google Project Zero) heidän avustaan.

MediaLibrary

Haluamme kiittää Angel Ramirezia ja Min (Spark) Zhengiä sekä Xiaolong Baita (Alibaba Inc.) heidän avustaan.

MobileInstallation

Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.

Safari

Haluamme kiittää Ben Guildia (@benguild) hänen avustaan.