À propos des correctifs de sécurité de Safari 12

Ce document décrit les correctifs de sécurité de Safari 12.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple. Vous pouvez chiffrer les communications avec Apple à l’aide de la clé PGP du groupe de sécurité produit d’Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Safari 12

Publié le 17 septembre 2018

Safari

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : un site web malveillant peut extraire des données renseignées automatiquement dans Safari.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2018-4307 : Rafay Baloch de la Pakistan Telecommunications Authority

Entrée mise à jour le 24 septembre 2018

Safari

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : un utilisateur peut ne pas être en mesure de supprimer les éléments de l’historique de navigation.

Description : la suppression d’un élément de l’historique peut ne pas effacer les visites avec chaînes de redirection. Ce problème a été résolu par une meilleure suppression des données.

CVE-2018-4329 : Hugo S. Diaz (coldpointblue)

Entrée mise à jour le 24 septembre 2018

Safari

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquences : la consultation d’un site Web malveillant, ouvert après avoir cliqué sur un lien, peut entraîner une utilisation détournée de l’interface utilisateur.

Description : un problème d’incohérence de l’interface utilisateur a été résolu grâce à une meilleure gestion des états.

CVE-2018-4195 : xisigr du Xuanwu Lab de Tencent (www.tencent.com)

Entrée mise à jour le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : un site web malveillant peut provoquer un comportement d’origines multiples inattendu.

Description : un problème d’origines multiples existait au niveau des éléments iframe. Ce problème a été résolu par l’amélioration de la fonction de suivi des origines de sécurité.

CVE-2018-4319 : John Pettitt de Google

Entrée ajoutée le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : une interaction inattendue provoque une erreur ASSERT.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation.

CVE-2018-4191 : découvert par OSS-Fuzz

Entrée ajoutée le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : un site web malveillant peut être en mesure d’exécuter des scripts dans le contexte d’un autre site web.

Description : Safari présentait un problème d’injection de code indirect (XSS). Ce problème a été résolu par une meilleure validation des URL.

CVE-2018-4309 : un chercheur anonyme en collaboration avec le programme Zero Day Initiative de Trend Micro

Entrée ajoutée le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : plusieurs problèmes de corruption de la mémoire ont été résolus par une meilleure gestion de cette dernière.

CVE-2018-4299 : Samuel Groβ (saelo) en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2018-4323 : Ivan Fratric de Google Project Zero

CVE-2018-4328 : Ivan Fratric de Google Project Zero

CVE-2018-4358 : équipe @phoenhex (@bkth_ @5aelo @_niklasb) en collaboration avec le programme Zero Day Initiative de Trend Micro

CVE-2018-4359 : Samuel Groß (@5aelo)

CVE-2018-4360 : William Bowling (@wcbowling)

Entrée ajoutée le 24 septembre 2018, mise à jour le 24 octobre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : SecurityErrors d’origines multiples comprenant l’origine du cadre accédé

Description : le problème a été résolu en supprimant les informations de l’origine.

CVE-2018-4311 : Erling Alf Ellingsen (@steike)

Entrée ajoutée le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : un site web malveillant est susceptible d’extraire des données d’image provenant d’origines multiples.

Description : Safari présentait un problème d’injection de code indirect (XSS). Ce problème a été résolu par une meilleure validation des URL.

CVE-2018-4345 : Jun Kokatsu (@shhnjk)

Entrée ajoutée le 24 septembre 2018, mise à jour le 18 décembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : une interaction inattendue provoque une erreur ASSERT.

Description : un problème de consommation de mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2018-4361 : découvert par OSS-Fuzz

CVE-2018-4474 : découvert par OSS-Fuzz

Entrée ajoutée le 24 septembre 2018, mise à jour le 22 janvier 2019

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2018-4312 : Ivan Fratric de Google Project Zero

CVE-2018-4315 : Ivan Fratric de Google Project Zero

CVE-2018-4197 : Ivan Fratric de Google Project Zero

CVE-2018-4314 : Ivan Fratric de Google Project Zero

CVE-2018-4318 : Ivan Fratric de Google Project Zero

CVE-2018-4306 : Ivan Fratric de Google Project Zero

CVE-2018-4317 : Ivan Fratric de Google Project Zero

Entrée ajoutée le 24 septembre 2018

WebKit

Disponible pour : macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2018-4316 : crixer, Hanming Zhang (@4shitak4) de la Qihoo 360 Vulcan Team

Entrée ajoutée le 24 septembre 2018

Remerciements supplémentaires

WebKit

Nous tenons à remercier Cary Hartline, Hanming Zhang de la 360 Vulcan Team, le Keen Security Lab de Tencent travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro et Zach Malone de CA Technologies pour leur aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: