Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.
iOS 13.1 ja iPadOS 13.1
Julkaistu 24.9.2019
iOS 13.1 ja iPadOS 13.1 sisältävät iOS 13:n turvallisuussisällön.
AppleFirmwareUpdateKext
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8747: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen äänitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.
CVE-2019-8706: Yu Zhou (Ant-financial Light-Year Security Lab)
Kohta lisätty 29.10.2019
Ääni
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen äänitiedoston käsittely saattoi aiheuttaa rajatun muistin paljastumisen.
Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8850: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön henkilö
Kohta lisätty 18.12.2019
Kirjat
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen iBooks-tiedoston jäsentäminen saattoi aiheuttaa pysyvän palveluneston.
Kuvaus: Resurssien loppumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8774: Gertjan Franken (imec-DistriNet, KU Leuven)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.
CVE-2019-8740: Mohamed Ghannam (@_simo36)
Kohta lisätty 29.10.2019
Kernel
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Paikallinen appi saattaa pystyä lukemaan pysyvän tilitunnisteen.
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8809: Apple
Kohta lisätty 29.10.2019
Kernel
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.
Kuvaus: Ongelma on ratkaistu parantamalla käyttöoikeuslogiikkaa.
CVE-2019-8780: Siguza
Kohta lisätty 8.10.2019
libxslt
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: libxslt:ssä esiintyy useita ongelmia.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.
CVE-2019-8750: ongelman havaitsi OSS-Fuzz
Kohta lisätty 29.10.2019
mDNSResponder
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Fyysisesti lähellä oleva hyökkääjä saattaa pystyä passiivisesti havaitsemaan laitteiden nimiä AWDL-tietoliikenteessä.
Kuvaus: Ongelma ratkaistiin korvaamalla laitteiden nimet satunnaisella tunnisteella.
CVE-2019-8799: David Kreitschmann ja Milan Stute (Secure Mobile Networking Lab, Technische Universität Darmstadt)
Kohta lisätty 29.10.2019
Pikakomennot
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Verkkosijaintiin oikeudet saanut hyökkääjä saattoi pystyä sieppaamaan SSH-tietoliikennettä toiminnolla, jolla komentosarja ajetaan SSH:n kautta
Kuvaus: Tämä ongelma on ratkaistu vahvistamalla isäntäavaimet tunnettuun SSH-palvelimeen yhdistettäessä.
CVE-2019-8901: nimetön tutkija
Kohta lisätty 11.2.2020
UIFoundation
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8831: Trend Micron Zero Day Initiativen parissa työskentelevä riusksk (VulWar Corp)
Kohta lisätty 18.11.2019
VoiceOver
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Henkilö, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi käyttää yhteystietoja lukitulta näytöltä.
Kuvaus: Ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.
CVE-2019-8775: videosdebarraquito
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisessa sivustossa käyminen saattoi paljastaa selaushistorian.
Kuvaus: Verkkosivuelementtien piirtämisessä oli ongelma. Ongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8769: Piérre Reimertz (@reimertz)
Kohta lisätty 8.10.2019
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8710: ongelman havaitsi OSS-Fuzz
CVE-2019-8743: zhunki (Codesafe Team, Legendsec, Qi'anxin Group)
CVE-2019-8751: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8752: Venustechin ADLabin parissa työskentelevä Dongzhuo Zhao
CVE-2019-8763: Sergei Glazunov (Google Project Zero)
CVE-2019-8765: Samuel Groß (Google Project Zero)
CVE-2019-8766: ongelman havaitsi OSS-Fuzz
CVE-2019-8773: ongelman havaitsi OSS-Fuzz
Kohta lisätty 8.10.2019, päivitetty 29.10.2019
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.
Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8762: Sergei Glazunov (Google Project Zero)
Kohta lisätty 18.11.2019
Kiitokset
boringssl
Haluamme kiittää Tel Avivin yliopiston Nimrod Aviramia ja Ruhrin yliopiston Bochumin kampuksen Robert Mergetia ja Juraj Somorovskya heidän avustaan.
Kohta lisätty 29.10.2019
Etsi iPhoneni
Haluamme kiittää nimetöntä tutkijaa hänen avustaan.
Identity Service
Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.
Kohta lisätty 29.10.2019
Muistiinpanot
Haluamme kiittää nimetöntä tutkijaa hänen avustaan.
Kuvat
Haluamme kiittää Peter Scottia (Sydney, Australia) hänen avustaan.
Kohta lisätty 18.12.2019
Jakosivu
Haluamme kiittää Milan Stutea (Secure Mobile Networking Lab, Technische Universität Darmstadt) hänen avustaan.
Kohta lisätty 29.10.2019
Tilapalkki
Haluamme kiittää Isaiah Kahleria, Mohammed Adhamia ja nimetöntä tutkijaa heidän avustaan.
Kohta lisätty 29.10.2019
Puhelinliikenne
Haluamme kiittää Yiğit Can YILMAZia (@yilmazcanyigit) hänen avustaan.