Tietoja Applen suojauspäivityksistä
Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.
Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.
iOS 13.3 ja iPadOS 13.3
Julkaistu 10.12.2019
CallKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Sirin avulla soitettavia puheluita saatettiin aloittaa käyttämällä väärää mobiililiittymää laitteissa, joissa on kaksi aktiivista liittymää.
Kuvaus: Sirillä soitettavien puheluiden käsittelyssä oli API-ongelma. Ongelma on ratkaistu parantamalla tilankäsittelyä.
CVE-2019-8856: Fabrice TERRANCLE (TERRANCLE SARL)
CFNetwork
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi pystyä ohittamaan HSTS:n rajatussa määrässä tiettyjä ylimmän tason toimialueita, joita ei ole lisätty ennalta ladattuun HSTS-luetteloon.
Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.
CVE-2019-8834: Rob Sayre (@sayrer)
Kohta lisätty 4.4.2020
CFNetwork-välipalvelimet
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Appi saattoi pystyä hankkimaan laajennetut käyttöoikeudet.
Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia.
CVE-2019-8848: Zhuo Liang (Qihoo 360 Vulcan Team)
FaceTime
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen videon käsittely FaceTimen kautta saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.
CVE-2019-8830: natashenka (Google Project Zero)
IOSurfaceAccelerator
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Tietojen paljastumiseen liittyvä ongelma ratkaistiin poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2019-8841: Corellium
Kernel
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.
CVE-2019-8833: Ian Beer (Google Project Zero)
Kernel
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8828: Cim Stordal (Cognite)
CVE-2019-8838: Dr. Silvio Cesare (InfoSect)
libexpat
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen XML-tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.
Kuvaus: Ongelma on korjattu päivittämällä expat-versioon 2.2.8.
CVE-2019-15903: Joonun Jang
libpcap
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Libpcapissa esiintyi useita ongelmia.
Kuvaus: Useita ongelmia ratkaistiin päivittämällä libpcap-versioon 1.9.1.
CVE-2019-15161
CVE-2019-15162
CVE-2019-15163
CVE-2019-15164
CVE-2019-15165
Kohta lisätty 4.4.2020
Kuvat
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Live Photo -ääntä ja -kuvaa saatettiin jakaa iCloud-linkeillä, vaikka Live Photo oli poistettu käytöstä jakosivukarusellissa.
Kuvaus: Ongelma on korjattu parantamalla vahvistusta iCloud-linkin luonnin yhteydessä.
CVE-2019-8857: Tor Bruce
Suojaus
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.
Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8832: Insu Yun (SSLab, Georgia Tech)
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitalliseksi laaditun sivuston avaaminen saattoi paljastaa sivustot, joilla käyttäjä oli käynyt.
Kuvaus: Storage Access API:n käsittelyssä oli tietojen paljastumisongelma. Tämä ongelma on ratkaistu parantamalla logiikkaa.
CVE-2019-8898: Michael Kleber (Google)
Kohta lisätty 11.2.2020, päivitetty 20.2.2020
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.
CVE-2019-8835: Nimetön yhteistyössä Trend Micron Zero Day Initiativen kanssa, Mike Zhang (Pangu Team)
CVE-2019-8844: William Bowling (@wcbowling)
WebKit
Saatavuus: iPhone 6s ja uudemmat, iPad Air 2 ja uudemmat, iPad mini 4 ja uudemmat sekä iPod touch (7. sukupolvi)
Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.
Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-2019-8846: Marcin Towalski (Cisco Talos)
Kiitokset
Tilit
Haluamme kiittää Allison Husainia (UC Berkeley), Kishan Bagariaa (KishanBagaria.com) ja Tom Snellingia (Loughborough University) heidän avustaan.
Kohta päivitetty 4.4.2020
Perustiedot
Haluamme kiittää natashenkaa (Google Project Zero) hänen avustaan.
Asetukset
Haluamme kiittää nimetöntä tutkijaa hänen avustaan.