Tietoja iOS 17.5:n ja iPadOS 17.5:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 17.5:n ja iPadOS 17.5:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on lueteltu Applen suojausjulkaisut ‑sivulla.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Lisätietoja turvallisuudesta on Applen tuoteturvallisuus -sivulla.

iOS 17.5 ja iPadOS 17.5

Julkaistu 13.5.2024

AppleAVD

Saatavuus: iPhone XS ja uudemmat, iPad Pro (13 tuumaa), iPad Pro (12,9 tuumaa, 2. sukupolvi ja uudemmat), iPad Pro (10,5 tuumaa), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (6. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)

Kohta päivitetty 15.5.2024

AppleMobileFileIntegrity

Vaikutus: hyökkääjä saattoi pystyä käyttämään käyttäjätietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-27816: Mickey Jin (@patch1t)

AVEVideoEncoder

Vaikutus: appi saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27841: nimetön tutkija

Core Data

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma korjattiin parantamalla ympäristömuuttujien validointia.

CVE-2024-27805: Kirin (@Pwnrin) ja 小来来 (@Smi1eSEC)

Kohta lisätty 10.6.2024

CoreMedia

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27817: pattern-f (@pattern_F_, Ant Security Light-Year Lab)

Kohta lisätty 10.6.2024

CoreMedia

Vaikutus: tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27831: Amir Bazine ja Karsten König, CrowdStrike Counter Adversary Operations

Kohta lisätty 10.6.2024

Disk Images

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27832: nimetön tutkija

Kohta lisätty 10.6.2024

Find My

Vaikutus: haitallinen appi saattoi pystyä määrittämään käyttäjän nykyisen sijainnin.

Kuvaus: tietosuojaongelma on ratkaistu siirtämällä arkaluontoiset tiedot entistä turvallisempaan sijaintiin.

CVE-2024-27839: Alexander Heinrich, SEEMOO, TU Darmstadt (@Sn0wfreeze) ja Shai Mishali (@freak4pc)

Foundation

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27801: CertiK SkyFall Team

Kohta lisätty 10.6.2024

ImageIO

Vaikutus: haitallisen kuvan käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27836: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kohta lisätty 10.6.2024

IOSurface

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27828: Pan ZhenPeng (@Peterpan0927, STAR Labs SG Pte.) Ltd.)

Kohta lisätty 10.6.2024

Kernel

Vaikutus: hyökkääjä saattoi pystyä aiheuttamaan apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27818: pattern-f (@pattern_F_, Ant Security Light-Year Lab)

Kernel

Vaikutus: ytimen koodia suorittanut hyökkääjä saattoi pystyä ohittamaan ydinmuistin suojaukset.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-27840: nimetön tutkija

Kohta lisätty 10.6.2024

Kernel

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27815: nimetön tutkija ja Joseph Ravichandran (@0xjprx), MIT CSAIL

Kohta lisätty 10.6.2024

libiconv

Vaikutus: appi saattoi saada laajennetut käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27811: Nick Wellnhofer

Kohta lisätty 10.6.2024

Libsystem

Vaikutus: appi saattoi pystyä käyttämään suojattuja käyttäjätietoja.

Kuvaus: Käyttöoikeusongelma on korjattu poistamalla haavoittuvuuden aiheuttanut koodi ja lisäämällä tarkistuksia.

CVE-2023-42893: nimetön tutkija

Mail

Vaikutus: hyökkääjä, jolla oli fyysinen käyttöoikeus, pystyi vuotamaan Mail-tilien kirjautumistiedot.

Kuvaus: valtuutusongelma ratkaistiin parantamalla tilanhallintaa.

CVE-2024-23251: Gil Pedersen

Kohta lisätty 10.6.2024

Mail

Vaikutus: haitallinen sähköposti saattoi pystyä aloittamaan FaceTime-puheluita ilman käyttäjän lupaa.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-23282: Dohyun Lee (@l33d0hyun)

Kohta lisätty 10.6.2024

Maps

Vaikutus: appi saattoi pystyä lukemaan luottamuksellisia sijaintitietoja.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2024-27810: LFY@secsys (Fudan University)

MarketplaceKit

Saatavuus: iPhone XS ja sitä uudemmat

Vaikutus: haitallinen verkkosivu saattoi pystyä jakamaan skriptin, joka seuraa käyttäjiä muilla verkkosivuilla.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla asiakastunnuksen käsittelyä vaihtoehtoisissa appimarkkinapaikoissa.

CVE-2024-27852: Talal Haj Bakry ja Tommy Mysk (Mysk Inc., @mysk_co)

Messages

Vaikutus: haitallisen sähköpostiviestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: tämä ongelma on ratkaistu poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2024-27800: Daniel Zajork ja Joshua Zajork

Kohta lisätty 10.6.2024

Metal

Vaikutus: haitallisen tiedoston käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-27802: Meysam Firouzi (@R00tkitsmm) yhteistyössä Trend Micron Zero Day Initiativen kanssa

Kohta lisätty 10.6.2024

Metal

Vaikutus: etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

Kuvaus: rajojen ulkopuolisen muistin käyttöongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Kohta lisätty 10.6.2024

Notes

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy iOS-laitteeseen, saattoi pystyä käyttämään muistiinpanoja lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-27835: Andr.Ess

Notes

Vaikutus: Appi saattoi pystyä käyttämään Muistiinpanojen liitteitä.

Kuvaus: Tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

CVE-2024-27845: Adam Berry

Kohta lisätty 10.6.2024

RemoteViewServices

Vaikutus: hyökkääjä saattoi pystyä käyttämään käyttäjätietoja.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-27816: Mickey Jin (@patch1t)

Screenshots

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy, saattoi pystyä jakamaan kohteita lukitulta näytöltä.

Kuvaus: käyttöoikeusongelma on ratkaistu parantamalla validointia.

CVE-2024-27803: nimetön tutkija

Shortcuts

Vaikutus: oikotie saattoi lähettää arkaluontoisia käyttäjätietoja ilman suostumusta.

Kuvaus: Polun käsittelyn ongelma ratkaistiin parantamalla validointia.

CVE-2024-27821: Kirin (@Pwnrin), zbleet ja Csaba Fitzl (@theevilbit, Kandji)

Shortcuts

Vaikutus: pikakomento saattoi pystyä käyttämään arkaluonteisia tietoja tietyissä toiminnoissa ilman, että käyttäjältä pyydettiin lupaa.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27855: nimetön tutkija

Kohta lisätty 10.6.2024

Siri

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy, saattoi pystyä käyttämään yhteystietoja lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2024-27819: Srijan Poudel

Kohta lisätty 10.6.2024

Spotlight

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla ympäristön puhdistamista.

CVE-2024-27806

Kohta lisätty 10.6.2024

StorageKit

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla lupien tarkistusta.

CVE-2024-27848: Csaba Fitzl (@theevilbit), Kandji

Kohta lisätty 10.6.2024

Symptom Framework

Vaikutus: appi saattoi pystyä kiertämään App Privacy Report -kirjauksen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27807: Romy R.

Kohta lisätty 10.6.2024

Sync Services

Vaikutus: appi saattoi pystyä ohittamaan tietosuoja-asetukset.

Kuvaus: Ongelma on ratkaistu parantamalla tarkistuksia

CVE-2024-27847: Mickey Jin (@patch1t)

Voice Control

Vaikutus: hyökkääjä saattoi pystyä hankkimaan laajemmat käyttöoikeudet.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-27796: ajajfxhj

WebKit

Vaikutus: Hyökkääjä, jolla oli mielivaltaiset luku- ja kirjoitusoikeudet, saattoi ohittaa osoitintodennuksen

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

WebKit Bugzilla: 272750
CVE-2024-27834: Trend Micron Zero Day Initiativen parissa työskentelevä Manfred Paul (@_manfp)

WebKit

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.

WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos, Mozilla

Kohta lisätty 10.6.2024

WebKit

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 268221
CVE-2024-27808: Benjamin Ehrfeld (CISPA Helmholtz Center for Information Security)

Kohta lisätty 10.6.2024

WebKit

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Ongelma: tämä ongelma on ratkaistu parantamalla melualgoritmia.

WebKit Bugzilla: 270767
CVE-2024-27850: nimetön tutkija

Kohta lisätty 10.6.2024

WebKit

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu parantamalla annettujen tietojen vahvistamista.

WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp) yhteistyössä Trend Micro Zero Day Initiativen kanssa

Kohta lisätty 10.6.2024

WebKit

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13 / 360 Vulnerability Research Institute)

Kohta lisätty 10.6.2024

WebKit Canvas

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387), Crawless, ja @abrahamjuliot

Kohta lisätty 10.6.2024

WebKit Web Inspector

Vaikutus: verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson (underpassapp.com)

Kohta lisätty 10.6.2024

Kiitokset

App Store

Haluamme kiittää avusta nimetöntä tutkijaa.

AppleMobileFileIntegrity

Haluamme kiittää avusta Mickey Jiniä (@patch1t).

Kohta lisätty 10.6.2024

CoreHAP

Haluamme kiittää avusta Adrian Cablea.

Disk Images

Haluamme kiittää avusta Mickey Jiniä (@patch1t).

Kohta lisätty 10.6.2024

Face ID

Haluamme kiittää avusta Lucas Monteiroa, Daniel Monteiroa ja Felipe Monteiroa.

HearingCore

Haluamme kiittää avusta nimetöntä tutkijaa.

ImageIO

Haluamme kiittää avusta nimetöntä tutkijaa.

Kohta lisätty 10.6.2024

Managed Configuration

Haluamme kiittää avusta käyttäjää 遥遥领先 (@晴天组织).

ReplayKit

Haluamme kiittää avusta Thomas Zhaoa.

Kohta lisätty 10.6.2024

Safari Downloads

Haluamme kiittää avusta Arsenii Kostrominia (0x3c3e).

Siri

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia).

Kohta lisätty 10.6.2024

Status Bar

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology Bhopal).

Transparency

Haluamme kiittää avusta Mickey Jiniä (@patch1t).

Kohta lisätty 10.6.2024

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 14. kesäkuuta 2024