Tietoja iOS 17.4:n ja iPadOS 17.4:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 17.4:n ja iPadOS 17.4:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.

iOS 17.4 ja iPadOS 17.4

Julkaistu 5.3.2024

Accessibility

iPhone XS ja uudemmat, iPad Pro (12,9 tuumaa, 2. sukupolvi ja uudemmat), iPad Pro (10,5 tuumaa), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (6. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-23243: Cristian Dinca (Tudor Vianu National High School of Computer Science, Romania)

Accessibility

Vaikutus: appi saattoi pystyä jäljittelemään järjestelmäilmoituksia ja käyttöliittymää.

Kuvaus: ongelma on ratkaistu oikeuksien lisätarkistuksilla.

CVE-2024-23262: Guilherme Rambo (Best Buddy Apps, rambo.codes)

Kohta lisätty 7.3.2024

Accessibility

Vaikutus: haitallinen appi saattoi pystyä tarkastelemaan käyttäjätietoja käyttöapuilmoitusten lokimerkinnöissä.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-23291

Kohta lisätty 7.3.2024

AppleMobileFileIntegrity

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-23288: Wojciech Regula (SecuRing, wojciechregula.blog) ja Kirin (@Pwnrin)

Kohta lisätty 7.3.2024

Bluetooth

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä syöttämään näppäinpainalluksia väärentämällä näppäimistön.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23277: Marc Newlin (SkySafe)

Kohta lisätty 7.3.2024

CoreBluetooth - LE

Vaikutus: appi saattoi pystyä käyttämään Bluetoothiin yhdistettyjä mikrofoneja ilman käyttäjän lupaa.

Kuvaus: käyttöongelma on ratkaistu lisäämällä käyttörajoituksia.

CVE-2024-23250: Guilherme Rambo (Best Buddy Apps, rambo.codes)

Kohta lisätty 7.3.2024

ExtensionKit

Vaikutus: appi saattoi pystyä käyttämään arkaluonteisia käyttäjätietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-23205

Kohta lisätty 7.3.2024

file

Vaikutus: tiedoston käsitteleminen saattoi aiheuttaa palveluneston tai mahdollisesti paljastaa muistin sisällön.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2022-48554

Kohta lisätty 7.3.2024

Image Processing

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-23270: nimetön tutkija

Kohta lisätty 7.3.2024

ImageIO

Vaikutus: kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-23286: Dohyun Lee (@l33d0hyun)

Kohta lisätty 7.3.2024

Kernel

Vaikutus: Hyökkääjä, jolla oli mielivaltaiset kernelin luku- ja kirjoitusoikeudet, saattoi ohittaa kernelin muistisuojaukset. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää.

Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2024-23225

Kernel

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: Kilpailutilanne on ratkaistu lisätarkistuksilla.

CVE-2024-23235

Kohta lisätty 7.3.2024

Kernel

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai kirjoittaa kernel-muistiin.

Kuvaus: muistin vioittumishaavoittuvuus on korjattu parantamalla lukitsemista.

CVE-2024-23265: Xinru Chi (Pangu Lab)

Kohta lisätty 7.3.2024

libxpc

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23278: nimetön tutkija

Kohta lisätty 7.3.2024

libxpc

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia eristyksestään käsin tai tietyillä laajennetuilla käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-0258: ali yabuz

Kohta lisätty 7.3.2024

MediaRemote

Vaikutus: haitallinen appi saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23297: scj643

Kohta lisätty 7.3.2024

Messages

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: Tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2024-23287: Kirin (@Pwnrin)

Kohta lisätty 7.3.2024

Metal

Vaikutus: Ohjelma saattoi pystyä lukemaan rajoitettua muistia.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2024-23264: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kohta lisätty 7.3.2024

Photos

Vaikutus: kumoaminen ravistamalla saattoi sallia poistetun kuvan ilmestyä takaisin ilman todentautumista

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23240: Harsh Tyagi

Kohta lisätty 7.3.2024

Photos

Vaikutus: Kätketyt-albumin kuvia saattoi katsoa ilman todentautumista

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2024-23255: Harsh Tyagi

Kohta lisätty 7.3.2024

RTKit

Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2024-23296

Safari

Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu parantamalla välimuistien käsittelyä.

CVE-2024-23220

Kohta lisätty 7.3.2024

Safari

Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23259: Lyra Rebane (rebane2001)

Kohta lisätty 7.3.2024

Safari Private Browsing

Vaikutus: käyttäjän lukitut välilehdet saattoivat olla hetken aikaa näkyvissä välilehtiryhmien välillä vaihdettaessa, kun lukittu yksityinen selaus oli käytössä.

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2024-23256: Om Kothawade

Safari Private Browsing

Vaikutus: Yksityisen selauksen välilehtiä voitiin käyttää ilman todennusta.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-23273: Matej Rabzelj

Kohta lisätty 7.3.2024

Sandbox

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia käyttäjätietoja.

Kuvaus: kilpailutilanne on korjattu parantamalla tilankäsittelyä.

CVE-2024-23239: Mickey Jin (@patch1t)

Kohta lisätty 7.3.2024

Sandbox

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: logiikkaongelma on ratkaistu parantamalla rajoituksia.

CVE-2024-23290: Wojciech Regula (SecuRing, wojciechregula.blog)

Kohta lisätty 7.3.2024

Share Sheet

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-23231: Kirin (@Pwnrin) ja luckyu (@uuulucky)

Kohta lisätty 7.3.2024

Shortcuts

Saatavuus: iPhone XS ja sitä uudemmat, iPad Pro (12,9 tuumaa, 2. sukupolvi ja sitä uudemmat), iPad Pro (10,5 tuumaa), iPad Pro (11 tuumaa, 1. sukupolvi ja sitä uudemmat), iPad Air (3. sukupolvi ja sitä uudemmat), iPad (6. sukupolvi ja sitä uudemmat) ja iPad mini (5. sukupolvi ja sitä uudemmat)

Vaikutus: appi saattoi pystyä käyttämään tietoja käyttäjän yhteystiedoista.

Kuvaus: Ongelma on ratkaistu parantamalla tietojen suojausta.

CVE-2024-23292: K宝 ja LFY@secsys (Fudan-yliopisto)

Kohta lisätty 7.3.2024

Siri

Vaikutus: henkilö, jolla oli fyysinen pääsy laitteeseen, saattoi käyttää Siriä yksityisten kalenteritietojen saamiseen.

Kuvaus: Lukitun näytön ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-23289: Lewis Hardy

Kohta lisätty 7.3.2024

Siri

Vaikutus: hyökkääjä, joka pääsi käsiksi laitteeseen, saattoi pystyä käyttämään Siriä arkaluonteisiin käyttäjätietoihin pääsyyn.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-23293: Bistrit Dahal

Kohta lisätty 7.3.2024

Spotlight

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-23241

Kohta lisätty 7.3.2024

Synapse

Vaikutus: appi saattoi pystyä tarkastelemaan Mail-tietoja.

Kuvaus: tietosuojaongelma on ratkaistu jättämällä tekstikenttien sisällön kirjaaminen pois.

CVE-2024-23242

Kohta lisätty 7.3.2024

UIKit

Vaikutus: appi saattoi pystyä poistumaan eristyksestään.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-23246: Deutsche Telekom Security GmbH Bundesamt für Sicherheit in der Informationstechnikin sponsoroimana

Kohta lisätty 7.3.2024

WebKit

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 259694
CVE-2024-23226: Pwn2car

Kohta lisätty 7.3.2024

WebKit

Vaikutus: Haitallinen verkkosivusto saattoi vuotaa äänitietoja eri alkuperien kesken.

Kuvaus: ongelma on ratkaistu parantamalla käyttöliittymän käsittelyä.

WebKit Bugzilla: 263795
CVE-2024-23254: James Lee (@Windowsrcer)

Kohta lisätty 7.3.2024

WebKit

Vaikutus: Haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon

Kuvaus: Logiikkaongelma on ratkaistu parantamalla validointia.

WebKit Bugzilla: 264811
CVE-2024-23263: Johan Carlsson (joaxcar)

Kohta lisätty 7.3.2024

WebKit

Vaikutus: haitallinen verkkosivu saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: Annettujen tietojen tarkistusongelma on korjattu parantamalla validointia.

WebKit Bugzilla: 266703
CVE-2024-23280: nimetön tutkija

Kohta lisätty 7.3.2024

WebKit

Vaikutus: Haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

WebKit Bugzilla: 267241
CVE-2024-23284: Georg Felber ja Marco Squarcina

Kohta lisätty 7.3.2024

Kiitokset

AirDrop

Haluamme kiittää avusta Cristian Dincaa (Tudor Vianu National High School of Computer Science, Romania).

CoreAnimation

Haluamme kiittää avusta Junsung Leetä.

Kohta lisätty 7.3.2024

CoreMotion

Haluamme kiittää avusta Eric Dorphya (Twin Cities App Dev LLC).

Kohta lisätty 7.3.2024

Find My

Haluamme kiittää avusta Meng Zhangia (鲸落) (NorthSea).

Kohta lisätty 7.3.2024

Kernel

Haluamme kiittää avusta Tarek Joumaata (@tjkr0wn) ja Junsung Leetä (이준성).

Kohta lisätty 7.3.2024

libxml2

Haluamme kiittää avusta OSS-Fuzzia sekä Ned Williamsonia (Google Project Zero).

Kohta lisätty 7.3.2024

libxpc

Haluamme kiittää avusta Rasmus Steniä (F-Secure, Mastodon: @pajp@blog.dll.nu) ja nimetöntä tutkijaa.

Kohta lisätty 7.3.2024

Mail Conversation View

Haluamme kiittää avusta nimetöntä tutkijaa.

NetworkExtension

Haluamme kiittää avusta Mathy Vanhoefenia (KU Leuven -yliopisto).

Photos

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal).

Kohta lisätty 7.3.2024

Power Management

Haluamme kiittää avusta Pan ZhenPengiä (@Peterpan0927, STAR Labs SG Pte. Ltd.).

Kohta lisätty 7.3.2024

Safari

Haluamme kiittää avusta Abhinav Saraswatia ja Matthew C:tä.

Kohta lisätty 7.3.2024

Sandbox

Haluamme kiittää avusta Zhongquan Litä (@Guluisacat).

Kohta lisätty 7.3.2024

Settings

Haluamme kiittää avusta Christian Scalesea, Logan Ramgoonia, Lucas Monteiroa, Daniel Monteiroa, Felipe Monteiroa ja Peter Wattheyta.

Siri

Haluamme kiittää avusta Bistrit Dahalia.

Kohta lisätty 7.3.2024

Software Update

Haluamme kiittää avusta Bin Zhangia (Dublin Cityn yliopisto).

Kohta lisätty 7.3.2024

WebKit

Haluamme kiittää avusta Nan Wangia (@eternalsakura13, 360 Vulnerability Research Institute), Valentino Dalla Vallea, Pedro Bernardoa, Marco Squarcinaa ja Lorenzo Veronesea (TU Wien).

Kohta lisätty 7.3.2024

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 26. maaliskuuta 2024