מידע על תוכן האבטחה של iOS 17.1 ושל iPadOS 17.1

מסמך זה מתאר את תוכן האבטחה של iOS 17.1 ושל iPadOS 17.1.

מידע על עדכוני האבטחה של Apple

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת ויש גרסאות חדשות או תיקונים זמינים. מהדורות אחרונות מופיעות בדף מהדורות האבטחה של Apple.

מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID כאשר הדבר ניתן.

למידע נוסף על אבטחה, עיינו בדף אבטחת מוצרי Apple.

iOS 17.1 ו-iPadOS 17.1

פורסם ב-25 באוקטובר 2023

Automation

זמין עבור: iPhone XS ואילך, iPad Pro בגודל 12.9 אינץ' דור שני ואילך, iPad Pro בגודל 10.5 אינץ', iPad Pro בגודל 11 אינץ' דור ראשון ואילך, iPad Air דור שלישי ואילך, iPad דור שישי ואילך ו-iPad mini דור חמישי ואילך

השפעה: יישום עם הרשאות בסיס עלול להצליח לקבל גישה למידע פרטי

תיאור: הבעיה טופלה באמצעות בדיקות משופרות.

CVE-2023-42952: ‏Zhipeng Huo‏ (‎@R3dF09) מ-Tencent Security Xuanwu Lab‏ (xlab.tencent.com)

הרשומה נוספה ב-16 בפברואר 2024

Contacts

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית פרטיות טופלה באמצעות עריכת נתונים פרטיים משופרת עבור רשומות יומן.

CVE-2023-41072‏: Wojciech Regula מ-SecuRing (‏wojciechregula.blog) ו-Csaba Fitzl ‏(‎@theevilbit) מ-Offensive Security

CVE-2023-42857‏: Noah Roskin-Frazee ו-Prof. J.‎ ‏(ZeroClicks.ai Lab)

CoreAnimation

השפעה: יישום עלול להצליח לגרום למניעת שירות

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2023-40449‏: Tomi Tokics (‏‎@tomitokics) מ-iTomsn0w

Core Recents

השפעה: יישום עלול להצליח לגשת לנתונים רגישים אודות המשתמש

תיאור: הבעיה נפתרה באמצעות סניטציה של רישום.

CVE-2023-42823

הרשומה נוספה ב-16 בפברואר 2024

FairPlay

השפעה: יישום עלול להצליח לקבל הרשאות ברמה גבוהה יותר

תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.

CVE-2023-42928: ‏Peter Nguyễn Vũ Hoàng (‏‎@peternguyen14) מ-STAR Labs SG Pte.‎ Ltd.‎

הרשומה נוספה ב-16 בפברואר 2024

Find My

השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום

תיאור: הבעיה נפתרה באמצעות טיפול משופר בזיכרונות מטמון.

CVE-2023-40413‏: Adam M.‎

Find My

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית אבטחה טופלה באמצעות שיפור הטיפול בקבצים.

CVE-2023-42834: ‏Csaba Fitzl‏ (‎@theevilbit) מ-Offensive Security

הרשומה נוספה ב-16 בפברואר 2024

Game Center

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית הרשאות טופלה באמצעות הגבלות נוספות.

CVE-2023-42953: ‏Michael (Biscuit) Thomas - ‏‎@biscuit@social.lol

הרשומה נוספה ב-16 בפברואר 2024

ImageIO

השפעה: עיבוד של תמונה עלול לגרום לחשיפה של זיכרון תהליך

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2023-40416‏: JZ

ImageIO

השפעה: עיבוד תמונה בעלת מבנה זדוני עלול להוביל לפגם בזיכרון

תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.

CVE-2023-42848: ‏JZ

הרשומה נוספה ב-16 בפברואר 2024

IOTextEncryptionFamily

השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה

תיאור: הבעיה נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2023-40423: חוקר אנונימי

Kernel

השפעה: תוקף שכבר הצליח להשיג הפעלת קוד ליבה עלול להצליח לעקוף אמצעי עזר של זיכרון ליבה

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2023-42849‏: Linus Henze מ-Pinauten GmbH (‏pinauten.de)

libc

השפעה: עיבוד של קלט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי ביישומים שהמשתמש מתקין

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

CVE-2023-40446: ‏inooo

הרשומה נוספה ב‑3 בנובמבר 2023

libxpc

השפעה: ייתכן שיישום זדוני יצליח לקבל הרשאות בסיס

תיאור: בעיה זו טופלה באמצעות טיפול משופר במטה-נתונים של קישורים סימבוליים.

CVE-2023-42942: ‏Mickey Jin‏ (‎@patch1t)

הרשומה נוספה ב-16 בפברואר 2024

Mail Drafts

השפעה: ייתכן שהאפשרות 'הסתרת הדוא"ל שלי' תושבת באופן בלתי צפוי

תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצבים משופר.

CVE-2023-40408‏: Grzegorz Riegel

mDNSResponder

השפעה: מכשיר עלול להיות במעקב פאסיבי לפי כתובת ה-MAC האלחוטית שלו

תיאור: בעיה זו טופלה על-ידי הסרת הקוד הפגיע.

CVE-2023-42846‏: Talal Haj Bakry ו-Tommy Mysk מ-Mysk Inc. @mysk_co

Passkeys

השפעה: תוקף עשוי לגשת למפתחות התחברות ללא אימות

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2023-42847: חוקר אנונימי

Photos

השפעה: ייתכן שתמונות באלבום 'תמונות מוסתרות' יוצגו ללא אימות

תיאור: בעיית אימות טופלה באמצעות ניהול מצבים משופר.

CVE-2023-42845: ‏Bistrit Dahal

הרשומה עודכנה ב-16 בפברואר 2024

Pro Res

השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה

תיאור: הבעיה נפתרה באמצעות טיפול משופר בזיכרון.

CVE-2023-42841‏: Mingxuan Yang ‏(‎@PPPF00L)‏, ‏happybabywu ו-Guang Gong מ-‎360 Vulnerability Research Institute

Pro Res

השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה

תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.

CVE-2023-42873: ‏Mingxuan Yang ‏(‎@PPPF00L) ו-happybabywu ו-Guang Gong מ-‎360 Vulnerability Research Institute

הרשומה נוספה ב-16 בפברואר 2024

Safari

השפעה: ייתכן שמשתמש לא יוכל למחוק פריטים בהיסטוריית הגלישה באינטרנט

תיאור: הבעיה נפתרה באמצעות טיפול משופר בזיכרונות מטמון.

CVE-2023-42951: ‏Adis Alic

הרשומה נוספה ב-16 בפברואר 2024

Sandbox

השפעה: תוקף עשוי לגשת לאמצעי אחסון המחוברים לרשת שנטענו בספריית הבית

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2023-42836: ‏Yiğit Can YILMAZ‏ (‎@yilmazcanyigit)

הרשומה נוספה ב-16 בפברואר 2024

Sandbox

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2023-42839: ‏Yiğit Can YILMAZ‏ (‎@yilmazcanyigit)

הרשומה נוספה ב-16 בפברואר 2024

Setup Assistant

השפעה: תוקף בעל גישה פיזית עלול להשאיר באופן שקט Apple ID במכשיר שנמחק

תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.

CVE-2023-42855: ‏Sam Lakmaker

הרשומה נוספה ב-16 בפברואר 2024

Share Sheet

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית פרטיות טופלה באמצעות עריכת נתונים פרטיים משופרת עבור רשומות יומן.

CVE-2023-42878: ‏Kirin‏ (‎@Pwnrin), ‏Wojciech Regula מ-SecuRing (‏wojciechregula.blog) ו-Cristian Dinca מבית הספר התיכון הלאומי Tudor Vianu למדעי המחשב ברומניה

הרשומה נוספה ב-16 בפברואר 2024

Siri

השפעה: תוקף בעל גישה פיזית עלול להשתמש ב-Siri כדי לגשת לנתוני משתמש רגישים

תיאור: בעיה זו טופלה על ידי הגבלת האפשרויות המוצעות במכשיר נעול.

CVE-2023-41982: ‏Bistrit Dahal

CVE-2023-41997: ‏Bistrit Dahal

CVE-2023-41988: ‏Bistrit Dahal

הרשומה עודכנה ב-16 בפברואר 2024

Siri

השפעה: יישום עלול להצליח להדליף מידע רגיש אודות המשתמש

תיאור: בעיה זו טופלה על ידי עריכה משופרת של מידע רגיש.

CVE-2023-42946

הרשומה נוספה ב-16 בפברואר 2024

Status Bar

השפעה: נעילת מכשיר עלולה להיכשל שוב ושוב

תיאור: הבעיה טופלה באמצעות טיפול משופר בממשק המשתמש.

CVE-2023-40445‏: Ting Ding‏, James Mancz‏, Omar Shibli, חוקר אנונימי, Lorenzo Cavallaro ו-Harry Lewandowski

Weather

השפעה: יישום עלול להצליח לגשת לנתוני משתמש רגישים

תיאור: בעיית פרטיות טופלה באמצעות עריכת נתונים פרטיים משופרת עבור רשומות יומן.

CVE-2023-41254‏: Cristian Dinca מבית הספר התיכון הלאומי Tudor Vianu למדעי המחשב ברומניה

WebKit

השפעה: עיבוד תוכן אינטרנט עלול להוביל להפעלת קוד שרירותי

תיאור: הבעיה נפתרה באמצעות טיפול משופר בזיכרון.

WebKit Bugzilla‏: 259836
CVE-2023-40447: ‏이준성(‏Junsung Lee) מ-Cross Republic

WebKit

השפעה: עיבוד תוכן אינטרנט עלול להוביל להפעלת קוד שרירותי

תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.

WebKit Bugzilla‏: 259890
CVE-2023-41976‏: 이준성‏(Junsung Lee)

WebKit

השפעה: עיבוד תוכן אינטרנט עלול להוביל להפעלת קוד שרירותי

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

WebKit Bugzilla‏: 260173
CVE-2023-42852: ‏Pedro Ribeiro‏ (‎@pedrib1337) ו-Vitor Pedreira‏ (‎@0xvhp_‎) מ-Agile Information Security

הרשומה עודכנה ב-16 בפברואר 2024

WebKit

השפעה: ביקור באתר זדוני עשוי לגרום לזיוף שורת הכתובות

תיאור: בעיה של חוסר עקביות בממשק המשתמש טופלה באמצעות ניהול מצבים משופר.

WebKit Bugzilla‏: 260046
CVE-2023-42843: ‏Kacper Kwapisz‏ (‎@KKKas_‎)

הרשומה נוספה ב-16 בפברואר 2024

WebKit

השפעה: פעילות הגלישה הפרטית של משתמש עלולה להישמר באופן בלתי צפוי ב'דו"ח פרטיות היישום'

תיאור: בעיית לוגיקה טופלה באמצעות בדיקות משופרות.

CVE-2023-42939: ‏Abhay Kailasia‏ (‎@abhay_kailasia) מ-Lakshmi Narain College Of Technology Bhopal בהודו

הרשומה נוספה ב-16 בפברואר 2024

WebKit Process Model

השפעה: עיבוד תוכן אינטרנט עלול לגרום למניעת שירות

תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.

WebKit Bugzilla‏: 260757
CVE-2023-41983‏: 이준성‏(Junsung Lee)

תודות נוספות

libarchive

אנחנו מבקשים להודות ל-Bahaa Naamneh על הסיוע.

libxml2

אנחנו מבקשים להודות לOSS-Fuzz, ל-Ned Williamson מ-Google Project Zero על הסיוע.

Power Manager

אנחנו מבקשים להודות ל-Xia0o0o0o‏ (@Nyaaaaa_ovo) מאוניברסיטת קליפורניה, סן דייגו, על הסיוע.

ReplayKit

אנחנו מבקשים להודות ל-Abhay Kailasia ‏(@abhay_kailasia) מ-Lakshmi Narain College Of Technology Bhopal על הסיוע.

הרשומה נוספה ב-16 בפברואר 2024

VoiceOver

אנחנו מבקשים להודות ל-Abhay Kailasia ‏(‎@abhay_kailasia) מ-Lakshmi Narain College Of Technology Bhopal Indial על הסיוע.

WebKit

אנחנו מבקשים להודות לחוקר אנונימי על הסיוע.

WebKit

אנחנו מבקשים להודות ל-Gishan Don Ranasinghe ולחוקר אנונימי על הסיוע.

הרשומה נוספה ב-16 בפברואר 2024

WidgetKit

אנחנו מבקשים להודות ל-Abhay Kailasia ‏(‎@abhay_kailasia) מ-Lakshmi Narain College Of Technology Bhopal Indial על הסיוע.

הרשומה נוספה ב-16 בפברואר 2024

מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.

Published Date: 27 בפברואר 2024