Tietoja Safari 13.1.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan Safari 13.1.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

Safari 13.1.2

Safari

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa osoiterivin väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2020-9942: nimetön tutkija, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora, The City School, PAF Chapter), Ruilin Yang (Tencent Security Xuanwu Lab), YoKo Kho (@YoKoAcc, PT Telekomunikasi Indonesia (Persero) Tbk), Zhiyang Zeng (@Wester, OPPO ZIWU Security Lab)

Safarin lataukset

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Hyökkääjä saattoi pystyä vaihtamaan latauskehyksen alkuperän Safari-lukija-tilassa.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2020-9912: Nikhil Mittal (@c0d3G33k) (Payatu Labs, payatu.com)

Safarin kirjautumisen automaattinen täyttö

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Hyökkääjä saattoi aiheuttaa sen, että Safarin salasanaehdotus annettiin väärällä toimialueella.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2020-9903: Nikhil Mittal (@c0d3G33k) (Payatu Labs, payatu.com)

Safari-lukija

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Etähyökkääjä saattoi ohittaa saman alkuperän käytännön Safari-lukija-tilassa.

Kuvaus: Logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2020-9911: Nikhil Mittal (@c0d3G33k) (Payatu Labs, payatu.com)

WebKit

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: Rajojen ulkopuolinen lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2020-9894: 0011 yhteistyössä Trend Micron Zero Day Initiativen kanssa

WebKit

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon

Kuvaus: Sisältöturvallisuuskäytännössä oli käyttöongelma. Ongelma on ratkaistu parantamalla käyttörajoituksia.

CVE-2020-9915: Ayoub AIT ELMOKHTAR (Noon)

WebKit

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa yleisten sivustojen välisten komentosarjojen suorittamiseen

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2020-9925: nimetön tutkija

WebKit

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2020-9893: 0011 yhteistyössä Trend Micron Zero Day Initiativen kanssa

CVE-2020-9895: Wen Xu (SSLab, Georgia Tech)

WebKit

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Hyökkääjä, jolla oli mielivaltaiset luku- ja kirjoitusoikeudet, saattoi ohittaa osoitintodennuksen

Kuvaus: Useita ongelmia on korjattu parantamalla logiikkaa.

CVE-2020-9910: Samuel Groß (Google Project Zero)

WebKitin sivun lataaminen

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Hyökkääjä saattoi pystyä piilottamaan URL-osoitteen kohteen

Kuvaus: URL-osoitteiden Unicode-koodausongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit-verkkoinspektori

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: URL-osoitteen kopioiminen verkkoinspektorista saattoi johtaa komennonsyöttöön

Kuvaus: Verkkoinspektorissa oli komennonsyöttöongelma. Ongelma on ratkaistu parantamalla poistumisohjausta.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

Saatavuus: macOS Mojave ja macOS High Sierra, sisältyy macOS Catalinaan

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi kyetä aiheuttamaan keon vioittumisen haitallisen SCTP-striimin avulla

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2020-6514: natashenka (Google Project Zero)