Informacije o sigurnosnom sadržaju sustava iOS 15.3 i iPadOS 15.3

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 15.3 i iPadOS 15.3.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

iOS 15.3 i iPadOS 15.3

ColorSync

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: obradom zlonamjerne datoteke može doći do izvršavanja proizvoljnog koda

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.

CVE-2022-22584: Mickey Jin (@patch1t) (Trend Micro)

Crash Reporter

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: neka zlonamjerna aplikacija mogla bi steći korijenske ovlasti

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2022-22578: Zhipeng Huo (@R3dF09) i Yuebin Sun (@yuebinsun2020) (Tencent Security Xuanwu Lab) (xlab.tencent.com)

iCloud

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: aplikacija je mogla pristupiti korisnikovim datotekama

Opis: u logici za provjeru valjanosti puta za simboličke veze postojao je problem. Taj je problem riješen poboljšanim čišćenjem puta.

CVE-2022-22585: Zhipeng Huo (@R3dF09) (Tencentov sigurnosni odjel Xuanwu Lab (https://xlab.tencent.com))

IOMobileFrameBuffer

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: uz kernelske ovlasti zlonamjerne aplikacije mogle su izvršiti proizvoljni kod. Apple je upoznat s izvješćem o potencijalnom aktivnom iskorištavanju tog problema.

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2022-22587: anonimni istraživač, Meysam Firouzi (@R00tkitSMM) (MBition - Mercedes-Benz Innovation Lab), Siddharth Aeri (@b1n4r1b01)

Kernel

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: uz kernelske ovlasti zlonamjerne aplikacije mogle su izvršiti proizvoljni kod

Opis: problem s preljevom međuspremnika riješen je poboljšanim upravljanjem memorijom.

CVE-2022-22593: Peter Nguyễn Vũ Hoàng (STAR Labs)

Model I/O

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: obrada zlonamjerne STL datoteke može dovesti do neočekivanog zatvaranja aplikacije ili izvršavanja proizvoljnog koda

Opis: problem s otkrivanjem podataka riješen je poboljšanim upravljanjem stanjem.

CVE-2022-22579: Mickey Jin (@patch1t) (Trend Micro)

WebKit

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: obrada zlonamjerno izrađene e-mail poruke može dovesti do pokretanja proizvoljnog javascript koda

Opis: problem s provjerom valjanosti riješen je poboljšanom sanitizacijom ulaznih podataka.

CVE-2022-22589: Heige (KnownSec, tim 404 (knownsec.com)) i Bo Qu (Palo Alto Networks (paloaltonetworks.com))

WebKit

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2022-22590: Toan Pham (Tim Orca, Sea Security (security.sea.com))

WebKit

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: obrada zlonamjerno izrađenog web sadržaja može spriječiti provođenje pravila za zaštitu sigurnosti sadržaja

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2022-22592: Prakash (@1lastBr3ath)

WebKit Storage

Dostupno za: iPhone 6s i noviji, iPad Pro (svi modeli), iPad Air 2 i noviji, iPad pete generacije i noviji, iPad mini 4 i noviji te iPod touch (sedme generacije)

Učinak: neko web-mjesto možda će moći pratiti osjetljive korisničke podatke

Opis: problem više izvora u API-ju IndexDB riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2022-22594: Martin Bajanik (FingerprintJS)

Dodatna zahvala

WebKit

Željeli bismo zahvaliti Prakashu (@1lastBr3ath) i korisniku bo13oy (Cyber Kunlun Lab) za njihovu pomoć.