Tietoja iOS 13.2:n ja iPadOS 13.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 13.2:n ja iPadOS 13.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 13.2 ja iPadOS 13.2

Tilit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Etähyökkääjä saattoi pystyä vuotamaan muistia.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2019-8787: Steffen Klee (Secure Mobile Networking Lab, Technische Universität Darmstadt)

AirDrop

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: AirDrop-siirrot voidaan odottamatta hyväksyä Kaikki-tilassa.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

CVE-2019-8796: Allison Husain (UC Berkeley)

App Store

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Paikallinen hyökkääjä saattoi pystyä kirjautumaan aiemmin kirjautuneen käyttäjän tilille ilman kelvollisia tunnistetietoja.

Kuvaus: Valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

Yhdistetyt domainit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Asiaton URL-prosessointi saattoi aiheuttaa tietojen luvattomia siirtoja.

Kuvaus: URL-osoitteiden jäsentämisessä oli ongelma. Ongelma on ratkaistu parantamalla annettujen tietojen validointia.

CVE-2019-8788: Juha Lindstedt (Pakastin), Mirko Tanania, Rauli Rikama (Zero Keyboard Ltd)

Ääni

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8785: Ian Beer (Google Project Zero)

CVE-2019-8797: 08Tc3wBB yhteistyössä SSD Secure Disclosuren kanssa

AVEVideoEncoder

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8795: 08Tc3wBB yhteistyössä SSD Secure Disclosuren kanssa

Kirjat

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen iBooks-tiedoston jäsennys saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: Symbolisten linkkien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla symbolisten linkkien tarkistamista.

CVE-2019-8789: Gertjan Franken (imec-DistriNet, KU Leuven)

Yhteystiedot

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen yhteystiedon käsittely saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2017-7152: Oliver Paukstadt (Thinking Objects GmbH, to.com)

Tiedostojärjestelmän tapahtumat

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8798: ABC Research s.r.o. yhteistyössä Trend Micron Zero Day Initiativen kanssa

Grafiikkaohjain

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8784: Vasiliy Vasilyev ja Ilya Finogeev (Webinar, LLC)

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2019-8794: 08Tc3wBB yhteistyössä SSD Secure Disclosuren kanssa

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8786: Wen Xu (Georgia Tech), Microsoft Offensive Security Researchin harjoittelija

Kernel

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2019-8829: Jann Horn (Google Project Zero)

Käyttöönottoapuri

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Fyysisesti lähellä oleva hyökkääjä saattoi pystyä pakottamaan käyttäjän haitalliseen Wi-Fi-verkkoon laitteen käyttöönoton aikana.

Kuvaus: Wi-Fi-verkon kokoonpanoasetuksissa ollut epäyhdenmukaisuus on korjattu.

CVE-2019-8804: Christy Philip Mathew (Zimperium, Inc)

Näyttötallennus

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Paikallinen käyttäjä saattoi pystyä tallentamaan näytön sisältöä ilman näkyvää näyttötallennuksen ilmaisinta.

Kuvaus: Näyttötallennuksen ilmaisimen näyttämisessä oli yhdenmukaisuusongelma. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-8793: Ryan Jenkins (Lake Forrest Prep School)

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2019-8813: nimetön tutkija

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8782: Cheolung Lee (LINE+ Security Team)

CVE-2019-8783: Cheolung Lee (LINE+ Graylab Security Team)

CVE-2019-8808: ongelman havaitsi OSS-Fuzz

CVE-2019-8811: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8812: JunDong Xie (Ant-financial Light-Year Security Lab)

CVE-2019-8814: Cheolung Lee (LINE+ Security Team)

CVE-2019-8816: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8819: Cheolung Lee (LINE+ Security Team)

CVE-2019-8820: Samuel Groß (Google Project Zero)

CVE-2019-8821: Sergei Glazunov (Google Project Zero)

CVE-2019-8822: Sergei Glazunov (Google Project Zero)

CVE-2019-8823: Sergei Glazunov (Google Project Zero)

WebKit

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitalliseksi laaditun sivuston avaaminen saattoi paljastaa sivustot, joilla käyttäjä oli käynyt.

Kuvaus: HTTP-viittaajan ylätunnistetta voitiin käyttää selaushistorian vuotamiseen. Ongelma on ratkaistu muuttamalla kaikkien muiden valmistajien viittaajat takaisin alkuperäversioihinsa.

CVE-2019-8827: Artur Janc, Krzysztof Kotowicz, Lukas Weichselbaum ja Roberto Clapis (Google Security Team)

WebKit-prosessimalli

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2019-8815: Apple

Wi-Fi

Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)

Vaikutus: Wi-Fi-verkon kantama-alueella ollut hyökkääjä saattoi vähäisissä määrin pystyä tarkastelemaan verkkoliikennettä.

Kuvaus: Tilasiirtymien käsittelyssä oli logiikkaongelma. Ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2019-15126: Milos Cermak (ESET)

Kiitokset

CFNetwork

Haluamme kiittää Googlen Lily Cheniä hänen avustaan.

Kernel

Haluamme kiittää Daniel Roethlisbergeriä (Swisscom CSIRT) ja Jann Hornia (Google Project Zero) heidän avustaan.

WebKit

Haluamme kiittää Dlivea (Xuanwu Lab, Tencent) ja Zhiyi Zhangia (Legendsecin Codesafe Team, Qi'anxin Group) heidän avustaan.