À propos des correctifs de sécurité d’iTunes 12.9 pour Windows
Ce document décrit les correctifs de sécurité d’iTunes 12.9 pour Windows.
À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées à la page Mises à jour de sécurité Apple.
Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple. Vous pouvez chiffrer les communications avec Apple à l’aide de la clé PGP du groupe de sécurité produit d’Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.
iTunes 12.9 pour Windows
CFNetwork
Disponible pour : Windows 7 et versions ultérieures
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges système.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4126 : Bruno Keith (@bkth_) en collaboration avec le programme Zero Day Initiative de Trend Micro
CoreFoundation
Disponible pour : Windows 7 et versions ultérieures
Conséquence : une application peut être en mesure d’accéder à des privilèges élevés.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4414 : centre national de cybersécurité du Royaume-Uni (NCSC)
CoreFoundation
Disponible pour : Windows 7 et versions ultérieures
Conséquence : une application malveillante peut permettre l’augmentation des privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2018-4412 : centre national de cybersécurité du Royaume-Uni (NCSC)
CoreText
Disponible pour : Windows 7 et versions ultérieures
Conséquence : le traitement d’un fichier texte malveillant peut entraîner l’exécution arbitraire de code
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2018-4347 : Vasyl Tkachuk de Readdle
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : une interaction inattendue provoque une erreur ASSERT.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation.
CVE-2018-4191 : découvert par OSS-Fuzz
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : des erreurs de sécurité d’origines multiples incluent l’origine du cadre d’accès
Description : le problème a été résolu en supprimant l’information relative à l’origine.
CVE-2018-4311 : Erling Alf Ellingsen (@steike)
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : le traitement d’un contenu Web malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2018-4316 : crixer, Hanming Zhang (@4shitak4) de la Qihoo 360 Vulcan Team
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : le traitement d’un contenu Web malveillant peut entraîner l’exécution arbitraire de code.
Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de cette dernière.
CVE-2018-4299 : Samuel Groβ (saelo) en collaboration avec le programme Zero Day Initiative de Trend Micro
CVE-2018-4323 : Ivan Fratric de Google Project Zero
CVE-2018-4328 : Ivan Fratric de Google Project Zero
CVE-2018-4358 : @phoenhex team (@bkth_ @5aelo @_niklasb) en collaboration avec le programme Zero Day Initiative de Trend Micro
CVE-2018-4359 : Samuel Groß (@5aelo)
CVE-2018-4360 : William Bowling (@wcbowling)
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : un site Web malveillant peut causer un comportement inattendu d’origines multiples
Description : un problème d’origines multiples existait au niveau des éléments « iframe ». Ce problème a été résolu par l’amélioration de la fonction de suivi des origines de sécurité.
CVE-2018-4319 : John Pettitt de Google
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : un site Web malveillant peut être en mesure d’exécuter des scripts dans le contexte d’un autre site Web.
Description : Safari présentait un problème d’injection de code indirect. Ce problème a été résolu par une meilleure validation des URL.
CVE-2018-4309 : un chercheur anonyme en collaboration avec le programme Zero Day Initiative de Trend Micro
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : le traitement d’un contenu Web malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2018-4197 : Ivan Fratric de Google Project Zero
CVE-2018-4306 : Ivan Fratric de Google Project Zero
CVE-2018-4312 : Ivan Fratric de Google Project Zero
CVE-2018-4314 : Ivan Fratric de Google Project Zero
CVE-2018-4315 : Ivan Fratric de Google Project Zero
CVE-2018-4317 : Ivan Fratric de Google Project Zero
CVE-2018-4318 : Ivan Fratric de Google Project Zero
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : un site Web malveillant peut extraire des données images provenant d’origines multiples.
Description : Safari présentait un problème d’injection de code indirect. Ce problème a été résolu par une meilleure validation des URL.
CVE-2018-4345 : Jun Kokatsu (@shhnjk)
WebKit
Disponible pour : Windows 7 et versions ultérieures
Conséquence : une interaction inattendue provoque une erreur ASSERT.
Description : un problème de consommation de mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2018-4361 : découvert par OSS-Fuzz
CVE-2018-4474 : découvert par OSS-Fuzz
Remerciements supplémentaires
SQLite
Nous tenons à remercier Andreas Kurtz (@aykay) de NESO Security Labs GmbH pour son aide.
WebKit
Nous tenons à remercier Cary Hartline, Hanming Zhang de 360 Vulcan team, Tencent Keen Security Lab en collaboration avec le programme Zero Day Initiative de Trend Micro, et Zach Malone de CA Technologies pour leur aide.
Les renseignements sur les produits qui ne sont pas fabriqués par Apple ou sur les sites Web indépendants qui ne sont pas gérés ou vérifiés par Apple sont fournis sans recommandation ni approbation de la part d’Apple. Apple se dégage de toute responsabilité quant à la sélection, au bon fonctionnement ou à l’utilisation de sites Web ou de produits de tiers. Apple ne fait aucune déclaration et n’offre aucune garantie quant à l’exactitude ou à la fiabilité de ces sites Web de tiers. Communiquez avec le vendeur pour de plus amples renseignements.