Informacije o sigurnosnom sadržaju sustava Safari 12

U ovom se dokumentu opisuje sigurnosni sadržaj sustava Safari 12.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda. Komunikaciju s Appleom možete kriptirati pomoću PGP ključa za sigurnost Appleovih proizvoda.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Safari 12

Safari

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: zlonamjerno web-mjesto moglo je otkriti podatke automatski unesene u pregledniku Safari

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2018-4307: Rafay Baloch (Pakistan Telecommunications Authority)

Safari

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: korisnik nije mogao izbrisati stavke povijesti pretraživanja

Opis: čišćenjem stavke povijesti nisu se mogle očistiti posjeti s lancima ponovnog usmjeravanja. Problem je riješen poboljšanim brisanjem podataka.

CVE-2018-4329: Hugo S. Diaz (coldpointblue)

Safari

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: na zlonamjernom web-mjestu klikom na vezu moglo se krivotvoriti sučelje

Opis: problem s nedosljednim sučeljem riješen je poboljšanim upravljanjem stanjem.

CVE-2018-4195: xisigr (Xuanwu Lab, Tencent (www.tencent.com))

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: zlonamjerno web-mjesto moglo je uzrokovati neočekivano ponašanje u više izvora

Opis: problem s više izvora u iframe elementima. To je riješeno poboljšanim praćenjem izvora sigurnosti.

CVE-2018-4319: John Pettitt (Google)

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: neočekivana interakcija uzrokuje kvar ASSERT

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.

CVE-2018-4191: otkrio OSS-Fuzz

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: zlonamjerno web-mjesto moglo je pokrenuti skripte u kontekstu drugog web-mjesta

Opis: u pregledniku Safari otkriven je problem sa skriptiranjem na više stranica. Problem je riješen poboljšanom provjerom valjanosti URL-a.

CVE-2018-4309: anonimni istraživač i inicijativa Zero Day (Trend Micro)

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2018-4299: Samuel Groβ (saelo) i inicijativa Zero Day (Trend Micro)

CVE-2018-4323: Ivan Fratrić (Google Project Zero)

CVE-2018-4328: Ivan Fratrić (Google Project Zero)

CVE-2018-4358: tim @phoenhex (@bkth_ @5aelo @_niklasb) i inicijativa Zero Day (Trend Micro)

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: svojstvo SecurityErrors iz više izvora sadrži izvor okvira kojem je pristupljeno

Opis: problem je riješen uklanjanjem podataka o izvoru.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: zlonamjerno web-mjesto moglo je prenijeti podatke o slikama iz više izvora

Opis: u pregledniku Safari otkriven je problem sa skriptiranjem na više stranica. Problem je riješen poboljšanom provjerom valjanosti URL-a.

CVE-2018-4345: anonimni istraživač

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: neočekivana interakcija uzrokuje kvar ASSERT

Opis: problem s potrošnjom memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2018-4361: otkrio OSS-Fuzz

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do izvršavanja proizvoljnog koda

Opis: problem s korištenjem memorije nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2018-4312: Ivan Fratric (Google Project Zero)

CVE-2018-4315: Ivan Fratric (Google Project Zero)

CVE-2018-4197: Ivan Fratric (Google Project Zero)

CVE-2018-4314: Ivan Fratric (Google Project Zero)

CVE-2018-4318: Ivan Fratric (Google Project Zero)

CVE-2018-4306: Ivan Fratric (Google Project Zero)

CVE-2018-4317: Ivan Fratric (Google Project Zero)

WebKit

Dostupno za: macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do izvršavanja proizvoljnog koda

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) (tim Vulcan, Qihoo 360)

Dodatna zahvala

WebKit

Na pomoći zahvaljujemo Caryju Hartlineu, Hanmingu Zhangu (tim 360 Vulcan, Tencent Keen Security Lab) i inicijativi Zero Day (Trend Micro) te Zachu Maloneu (CA Technologies).