מידע על תוכן האבטחה של iOS 17.6 ו-iPadOS 17.6

מסמך זה מתאר את תוכן האבטחה של iOS 17.6 ו-iPadOS 17.6.

מידע על עדכוני האבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת אותן עד לביצוע חקירה בנושא ויש גרסאות חדשות או תיקונים זמינים. מהדורות אחרונות מופיעות בעמוד מהדורות האבטחה של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID‏ במידת האפשר.

למידע נוסף על אבטחה, עיינו בעמוד אבטחת מוצרי Apple.

iOS 17.6 ו-iPadOS 17.6

הופצה ב-29 ביולי 2024

AirDrop

זמין עבור: iPhone XS ואילך, iPad Pro בגודל 13 אינץ', iPad Pro בגודל 12.9 אינץ' דור שני ואילך, iPad Pro בגודל 10.5 אינץ', iPad Pro בגודל 11 אינץ' דור ראשון ואילך, iPad Air דור שלישי ואילך, iPad דור שישי ואילך ו-iPad mini דור חמישי ואילך

השפעה: ייתכן שקובץ שהתקבל מ-AirDrop לא סומן בדגל הסגר

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-54564‏: Linwz of DEVCORE

הרשומה נוספה ב-20 במרץ 2025

AppleMobileFileIntegrity

השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות

תיאור: בעיית שנמוך טופלה באמצעות הגבלות נוספות על חתימת קוד.

CVE-2024-40774‏: Mickey Jin ‏(‎@patch1t)

CoreGraphics

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-40799‏: D4m0n

CoreMedia

השפעה: עיבוד קובץ וידאו בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית כתיבה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-27873‏: Amir Bazine ו-Karsten König מ-CrowdStrike Counter Adversary Operations

dyld

השפעה: תוקף זדוני עם יכולות קריאה וכתיבה שרירותיות עלול לעקוף אימות מצביע

תיאור: מצב מירוץ טופל באמצעות אימות נוסף.

CVE-2024-40815‏: w0wbox

Family Sharing

השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום

תיאור: בעיה זו טופלה באמצעות הגנת נתונים משופרת.

CVE-2024-40795‏: Csaba Fitzl ‏(@theevilbit) מ-Kandji

ImageIO

השפעה: עיבוד תמונה עלול לגרום למניעת שירות

תיאור: זו פגיעות בקוד מקור פתוח ותוכנת Apple היא בין הפרויקטים המושפעים. ה-CVE-ID הוקצה על-ידי צד שלישי. ניתן לקבל מידע נוסף על הבעיה ועל CVE-ID בכתובת cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.

CVE-2024-40806‏: Yisumi

ImageIO

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: בעיית גישה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-40777‏: Junsung Lee בעבודה עם Trend Micro Zero Day Initiative, ו-Amir Bazine ו-Karsten König מ-CrowdStrike Counter Adversary Operations

ImageIO

השפעה: עיבוד קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום

תיאור: גלישה נומרית טופלה באמצעות אימות קלט משופר.

CVE-2024-40784: ‏Junsung Lee בעבודה עם Trend Micro Zero Day Initiative‏, Gandalf4a

Kernel

השפעה: תוקף מקומי עלול להצליח לקבוע את פריסת זיכרון הליבה

תיאור: בעיית חשיפת מידע טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.

CVE-2024-27863‏: CertiK SkyFall Team

Kernel

השפעה: תוקף מקומי עלול לגרום לכיבוי בלתי צפוי של המערכת

תיאור: בעיית בלבול בסוגים טופלה באמצעות טיפול משופר בזיכרון.

CVE-2024-40788‏: Minghao Lin ו-Jiaxun Zhu מאוניברסיטת ג'ג'יאנג

libxpc

השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות

תיאור: בעיית הרשאות טופלה באמצעות הגבלות נוספות.

CVE-2024-40805

Phone

השפעה: תוקף בעל גישה פיזית עלול להשתמש ב-Siri כדי לגשת לנתוני משתמש רגישים

תיאור: בעיה במסך הנעילה טופלה באמצעות ניהול מצבים משופר.

CVE-2024-40813‏: Jacob Braun

Photos Storage

השפעה: ייתכן שתמונות באלבום 'תמונות מוסתרות' יוצגו ללא אימות

תיאור: בעיית אימות טופלה באמצעות ניהול מצבים משופר.

CVE-2024-40778‏: Mateen Alinaghi

Sandbox

השפעה: אפליקציה עלולה להצליח לעקוף את העדפות הפרטיות

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-40824‏: Wojciech Regula מ-SecuRing ‏(wojciechregula.blog) ו-Zhongquan Li ‏(@Guluisacat) מ-Dawn Security Lab of JingDong

Sandbox

השפעה: יישום עלול להצליח לגשת לנתוני משתמש מוגנים

תיאור: בעיית טיפול בנתיב טופלה באמצעות שיפור האימות.

CVE-2024-27871‏: Mickey Jin ‏(@patch1t)‏, Csaba Fitzl ‏(@theevilbit) מ-Kandji ו-Zhongquan Li ‏(@Guluisacat) מ-Dawn Security Lab of JingDong

Shortcuts

השפעה: קיצור דרך עלול להצליח להשתמש בנתונים רגישים במהלך פעולות מסוימות בלי להציג בקשה למשתמש

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2024-40835: חוקר אנונימי

CVE-2024-40836: חוקר אנונימי

Shortcuts

השפעה: קיצור דרך עשוי לעקוף את הדרישות להרשאה לגלישה באינטרנט

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2024-40809: חוקר אנונימי

CVE-2024-40812: חוקר אנונימי

Shortcuts

השפעה: קיצור דרך עשוי לעקוף את הדרישות להרשאה לגלישה באינטרנט

תיאור: הבעיה טופלה על ידי הוספת בקשה נוספת לקבלת אישור של המשתמש.

CVE-2024-40787: חוקר אנונימי

Shortcuts

השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש

תיאור: בעיה זו טופלה על-ידי הסרת הקוד הפגיע.

CVE-2024-40793: ‏Kirin‏ (‎@Pwnrin)

Siri

השפעה: תוקף עלול להצליח להציג מידע רגיש אודות המשתמש

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2024-40786: ‏Bistrit Dahal

Siri

השפעה: תוקף בעל גישה פיזית עלול להשתמש ב-Siri כדי לגשת לנתוני משתמש רגישים

תיאור: בעיה זו טופלה על ידי הגבלת האפשרויות המוצעות במכשיר נעול.

CVE-2024-40818‏: Bistrit Dahal ו-Srijan Poudel

Siri

השפעה: תוקף עם גישה פיזית למכשיר עלול להצליח לגשת לאנשי קשר ממסך הנעילה

תיאור: בעיה זו טופלה על ידי הגבלת האפשרויות המוצעות במכשיר נעול.

CVE-2024-40822‏: Srijan Poudel

Siri

השפעה: יישום בארגז חול עלול לגשת לנתוני משתמש רגישים ביומני המערכת

תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.

CVE-2024-44205‏: Jiahui Hu‏ (梅零落)‎ ו-‎ Meng Zhang‏(鲸落) ‎מ-‎NorthSea

הרשומה נוספה ב-15 באוקטובר 2024

‎VoiceOver‎

השפעה: תוקף עלול להצליח להציג תוכן מוגבל ממסך הנעילה

תיאור: הבעיה טופלה באמצעות בדיקות משופרות.

CVE-2024-40829: ‏Abhay Kailasia‏ (‎@abhay_kailasia) מ-Lakshmi Narain College of Technology Bhopal בהודו

WebKit

השפעה: עיבוד תוכן אינטרנט עלול לגרום למניעת שירות

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

WebKit Bugzilla‏: 275117

CVE-2024-54551‏: ajajfxhj

הרשומה נוספה ב-20 במרץ 2025

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

WebKit Bugzilla‏: 273176

CVE-2024-40776‏: Huang Xilin מ-Ant Group Light-Year Security Lab

WebKit Bugzilla‏: 268770

CVE-2024-40782‏: Maksymilian Motyl

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

WebKit Bugzilla‏: 275431

CVE-2024-40779‏: Huang Xilin מ-Ant Group Light-Year Security Lab

WebKit Bugzilla‏: 275273

CVE-2024-40780‏: Huang Xilin מ-Ant Group Light-Year Security Lab

WebKit

השפעה: עיבוד של תוכן אינטרנט בעל מבנה זדוני עלול לגרום להתקפת Scripting בין אתרים

תיאור: בעיה זו טופלה באמצעות בדיקות משופרות.

WebKit Bugzilla‏: 273805

CVE-2024-40785: ‏Johan Carlsson‏ (joaxcar)

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: בעיית גישה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.

CVE-2024-40789‏: Seunghyun Lee ‏(@0x10n) מ-KAIST Hacking Lab בעבודה עם Trend Micro Zero Day Initiative

WebKit

השפעה: ניתן לגשת לכרטיסיות 'גלישה פרטית' ללא אימות

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

WebKit Bugzilla:‏ 275272

CVE-2024-40794‏: Matthew Butler

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

תיאור: הבעיה טופלה באמצעות בדיקות משופרות.

WebKit Bugzilla:‏ 276097

CVE-2024-44185:‏ Gary Kwong

הרשומה נוספה ב-15 באוקטובר 2024

WebKit

השפעה: משתמש עלול להצליח לעקוף הגבלות מסוימות על תוכן באינטרנט

תיאור: בעיה בטיפול בפרוטוקולי URL טופלה באמצעות לוגיקה משופרת.

WebKit Bugzilla:‏ 280765

CVE-2024-44206:‏ Andreas Jaegersberger ו-Ro Achterberg

הרשומה נוספה ב-15 באוקטובר 2024

WebKit

השפעה: עיבוד תוכן מקוון בעל מבנה זדוני עלול להוביל לקריסת תהליך לא צפויה

WebKit Bugzilla:‏ 274165

CVE-2024-4558

הכרה נוספת

Find My

אנו מבקשים להודות ל-Andrew Bruns,‏ Bret Palsson,‏ Phil Purviance, ול-Shawn Cohen על הסיוע.

הרשומה נוספה ב-15 באוקטובר 2024

Settings

אנחנו מבקשים להודות ל-Joshua Thomas על הסיוע.

Shortcuts

אנחנו מבקשים להודות לחוקר אנונימי על הסיוע.

מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.

פורסם בתאריך: 27 במרץ 2025