Tietoja iOS 17.1:n ja iPadOS 17.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 17.1:n ja iPadOS 17.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.

iOS 17.1 ja iPadOS 17.1

Julkaistu 25.10.2023

Automation

iPhone XS ja uudemmat, iPad Pro (12,9 tuumaa, 2. sukupolvi ja uudemmat), iPad Pro (10,5 tuumaa), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (6. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: appi, jolla oli pääkäyttöoikeudet, saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2023-42952: Zhipeng Huo (@R3dF09, Tencent Security Xuanwu Lab, xlab.tencent.com)

Kohta lisätty 16.2.2024

Contacts

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2023-41072: Wojciech Regula (SecuRing, wojciechregula.blog) ja Csaba Fitzl (@theevilbit, Offensive Security)

CVE-2023-42857: Noah Roskin-Frazee ja Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Vaikutus: sovellus saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-40449: Tomi Tokics (@tomitokics, iTomsn0w)

Core Recents

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: ongelma on ratkaistu puhdistamalla lokikirjauksia.

CVE-2023-42823

Kohta lisätty 16.2.2024

FairPlay

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14, STAR Labs SG Pte.) Ltd.)

Kohta lisätty 16.2.2024

Find My

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja..

Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.

CVE-2023-40413: Adam M.

Find My

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2023-42834: Csaba Fitzl (@theevilbit, Offensive Security)

Kohta lisätty 16.2.2024

Game Center

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2023-42953: Michael (Biscuit) Thomas (@biscuit@social.lol)

Kohta lisätty 16.2.2024

ImageIO

Vaikutus: kuvan käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-40416: JZ

ImageIO

Vaikutus: Haitallisen kuvan käsitteleminen saattoi johtaa keon vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2023-42848: JZ

Kohta lisätty 16.2.2024

IOTextEncryptionFamily

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-40423: nimetön tutkija

Kernel

Vaikutus: ytimen koodia suorittanut hyökkääjä saattoi pystyä ohittamaan ydinmuistin korjaavat toimet

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-42849: Linus Henze (Pinauten GmbH, pinauten.de)

libc

Vaikutus: haitallisten tietojen käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen käyttäjän asentamisessa apeissa.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-40446: inooo

Kohta lisätty 3.11.2023

libxpc

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien käsittelyä.

CVE-2023-42942: Mickey Jin (@patch1t)

Kohta lisätty 16.2.2024

Mail Drafts

Vaikutus: Kätke osoitteeni ‑toiminto saatettiin poistaa käytöstä odottamattomasti.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Vaikutus: laitetta saatettiin pystyä seuraamaan passiivisesti sen Wi-Fi-yhteyden MAC-osoitteen perusteella.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2023-42846: Talal Haj Bakry ja Tommy Mysk (Mysk Inc. @mysk_co)

Passkeys

Vaikutus: hyökkääjä saattoi pystyä käyttämään pääsyavaimia ilman todentautumista

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2023-42847: nimetön tutkija

Photos

Vaikutus: Kätketyt-albumin kuvia saattoi katsoa ilman todentautumista

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2023-42845: Bistrit Dahal

Kohta päivitetty 16.2.2024

Pro Res

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu ja Guang Gong (360 Vulnerability Research Institute)

Pro Res

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2023-42873: Mingxuan Yang (@PPPF00L) sekä happybabywu ja Guang Gong (360 Vulnerability Research Institute)

Kohta lisätty 16.2.2024

Safari

Vaikutus: Käyttäjä ei mahdollisesti pystynyt poistamaan selaushistorian kohteita.

Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.

CVE-2023-42951: Adis Alic

Kohta lisätty 16.2.2024

Sandbox

Vaikutus: hyökkääjä saattoi pystyä käyttämään liitettyjä verkkotaltioita, jotka on liitetty kotihakemistoon.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Kohta lisätty 16.2.2024

Sandbox

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Kohta lisätty 16.2.2024

Setup Assistant

Vaikutus: hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä jättää huomaamattoman Apple ID:n tyhjennettyyn laitteeseen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2023-42855: Sam Lakmaker

Kohta lisätty 16.2.2024

Share Sheet

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula (SecuRing, wojciechregula.blog) ja Cristian Dinca (Tudor Vianu National High School of Computer Science, Romania)

Kohta lisätty 16.2.2024

Siri

Vaikutus: hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä käyttämään Siriä arkaluonteisiin käyttäjätietoihin pääsyyn.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Kohta päivitetty 16.2.2024

Siri

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2023-42946

Kohta lisätty 16.2.2024

Status Bar

Saatavuus: iPhone XS ja uudemmat, iPad Pro (12,9 tuumaa, 2. sukupolvi ja uudemmat), iPad Pro (10,5 tuumaa), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (6. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: laitteen lukittuminen saattoi epäonnistua toistuvasti

Kuvaus: ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, nimetön tutkija, Lorenzo Cavallaro ja Harry Lewandowski

Weather

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2023-41254: Cristian Dinca (Tudor Vianu National High School of Computer Science, Romania)

WebKit

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성(Junsung Lee, Cross Republic)

WebKit

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) ja Vitor Pedreira (@0xvhp_) (Agile Information Security)

Kohta päivitetty 16.2.2024

WebKit

Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa osoiterivin väärentämisen.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Kohta lisätty 16.2.2024

WebKit

Vaikutus: käyttäjän yksityinen selaustoiminta saattoi odottamattomasti tallentua Appien tietosuojaraporttiin.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College Of Technology Bhopal India)

Kohta lisätty 16.2.2024

WebKit Process Model

Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성(Junsung Lee)

Kiitokset

libarchive

Haluamme kiittää avusta Bahaa Naamnehia.

libxml2

Haluamme kiittää avusta OSS-Fuzzia ja Ned Williamsonia (Google Project Zero).

Power Manager

Haluamme kiittää avusta käyttäjää Xia0o0o0o (@Nyaaaaa_ovo, University of California, San Diego).

ReplayKit

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal).

Kohta lisätty 16.2.2024

VoiceOver

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia).

WebKit

Haluamme kiittää avusta nimetöntä tutkijaa.

WebKit

Haluamme kiittää avusta Gishan Don Ranasinghea ja nimetöntä tutkijaa.

Kohta lisätty 16.2.2024

WidgetKit

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia).

Kohta lisätty 16.2.2024

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 27. helmikuuta 2024