Informacije o sigurnosnom sadržaju sustava iOS 13.2 i iPadOS 13.2

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 13.2 i iPadOS 13.2.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

iOS 13.2 i iPadOS 13.2

Računi

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: udaljeni napadač može probiti memoriju

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-8787: Steffen Klee (laboratorij za sigurno mobilno umrežavanje, Tehničko sveučilište Darmstadt)

AirDrop

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: AirDrop prijenosi mogu se neočekivano prihvatiti dok ste u modu Svi

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2019-8796: Allison Husain (UC Berkeley)

App Store

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: lokalni napadač može se bez valjanih vjerodajnica prijaviti na račun korisnika koji je već bio prijavljen.

Opis: problem s autorizacijom riješen je poboljšanim upravljanjem stanjem.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

Povezane domene

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: neispravno procesiranje URL-a može dovesti do eksfiltriranja podataka

Opis: otkriven je problem s parsiranjem URL-a u porukama. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-8788: Juha Lindstedt (Pakastin), Mirko Tanania, Rauli Rikama (Zero Keyboard Ltd)

Zvuk

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8785: Ian Beer (Google Project Zero)

CVE-2019-8797: 08Tc3wBB i SSD Secure Disclosure

AVEVideoEncoder

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8795: 08Tc3wBB i SSD Secure Disclosure

Knjige

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: raščlanjivanjem zlonamjerne iBooks datoteke može doći do otkrivanja korisničkih podataka

Opis: postojao je problem s provjerom valjanosti prilikom rukovanja simboličkim vezama. Taj je problem riješen poboljšanom provjerom simboličkih veza.

CVE-2019-8789: Gertjan Franken (imec-DistriNet, KU Leuven)

Kontakti

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: obradom zlonamjernog kontakta može se krivotvoriti korisničko sučelje

Opis: problem s nedosljednim sučeljem riješen je poboljšanim upravljanjem stanjem.

CVE-2017-7152: Oliver Paukstadt (Thinking Objects GmbH (to.com))

Događaji datotečnog sustava

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8798: ABC Research s.r.o. i inicijativa Zero Day (Trend Micro)

Upravljački program za grafičku karticu

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8784: Vasiliy Vasilyev i Ilya Finogeev (Webinar, LLC)

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: neke aplikacije mogu čitati ograničenu memoriju

Opis: problem s provjerom valjanosti riješen je poboljšanom sanitizacijom ulaznih podataka.

CVE-2019-8794: 08Tc3wBB i SSD Secure Disclosure

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz kernelske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8786: Wen Xu (Georgia Tech, stažist istraživačkog tima Microsoft Offensive Security)

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: uz kernelske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: ranjivost zbog oštećenja memorije riješena je poboljšanim zaključavanjem.

CVE-2019-8829: Jann Horn (Google Project Zero)

Asistent za podešavanje

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: napadač koji se nalazi u blizini može natjerati korisnika na povezivanje sa zlonamjernom Wi-Fi mrežom tijekom postavljanja uređaja

Opis: riješen je problem s nedosljednošću postavki konfiguracije Wi-Fi mreže.

CVE-2019-8804: Christy Philip Mathew (Zimperium, Inc)

Snimanje zaslona

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: lokalni korisnik možda može snimati zaslon bez vidljivog indikatora snimanja zaslona

Opis: postojao je problem s dosljednošću prilikom donošenja odluke o tome kada prikazati indikator snimanja zaslona. Taj je problem riješen poboljšanim upravljanjem stanjem.

CVE-2019-8793: Ryan Jenkins (srednja škola Lake Forrest)

WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do univerzalnog unakrsnog skriptiranja na više web-mjesta

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2019-8813: anonimni istraživač

WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2019-8782: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8783: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8808: otkrio OSS-Fuzz

CVE-2019-8811: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8812: JunDong Xie (Ant-financial Light-Year Security Lab)

CVE-2019-8814: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8816: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8819: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8820: Samuel Groß (Google Project Zero)

CVE-2019-8821: Sergei Glazunov (Google Project Zero)

CVE-2019-8822: Sergei Glazunov (Google Project Zero)

CVE-2019-8823: Sergei Glazunov (Google Project Zero)

WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: posjet zlonamjernom web-mjestu može otkriti ostala web-mjesta koja je korisnik posjetio

Opis: zaglavlje HTTP-a referenta može se upotrijebiti za otkrivanje povijesti pregledavanja. Problem je riješen degradiranjem svih referenata treće strane na njihovo ishodište.

CVE-2019-8827: Artur Janc, Krzysztof Kotowicz, Lukas Weichselbaum i Roberto Clapis (Googleov tim za sigurnost)

Model procesiranja za WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2019-8815: Apple

Wi-Fi

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch sedme generacije

Učinak: napadač u dometu Wi-Fi mreže može vidjeti dio mrežnog prometa

Opis: u rukovanju prijelazima iz jednog stanja u drugo pojavio se logički problem. Problem je riješen poboljšanim upravljanjem stanjem.

CVE-2019-15126: Milos Cermak (ESET)

Dodatna zahvala

CFNetwork

Željeli bismo zahvaliti Lily Chen (Google) na pomoći.

Kernel

Željeli bismo zahvaliti Danielu Roethlisbergeru (Swisscom CSIRT) i Jannu Hornu (Google Project Zero) na pomoći.

WebKit

Željeli bismo zahvaliti Dliveu (Tencent, Xuanwu Lab) i Zhiyi Zhang (tim Codesafe. Legendsec grupacije Qi'anxin) na pomoći.