Informacije o sigurnosnom sadržaju sustava iOS 12.1.3

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 12.1.3.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

iOS 12.1.3

AppleKeyStore

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: proces u memoriji za testiranje mogao je zaobići ograničenja memorije za testiranje

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.

CVE-2019-6235: Brandon Azad

Bluetooth

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: napadač s mrežnim ovlastima mogao je izvršiti proizvoljni kod

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-6200: anonimni istraživač

Osnovni mediji

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerna aplikacija mogla bi povećati ovlasti

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2019-6202: Fluoroacetate i inicijativa Zero Day (Trend Micro)

CVE-2019-6221: Fluoroacetate i inicijativa Zero Day (Trend Micro)

CoreAnimation

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerne su aplikacije mogle čitati ograničenu memoriju

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2019-6231: Zhuo Liang (Qihoo 360 Nirvan Team)

CoreAnimation

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerne su aplikacije mogle izaći izvan ograničene memorije

Opis: problem s inicijalizacijom memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6230: Proteas, Shrek_wzw i Zhuo Liang (Qihoo 360 Nirvan Team)

FaceTime

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: udaljeni napadač mogao bi pokrenuti poziv putem značajke FaceTime te uzrokovati izvršavanje proizvoljnog koda

Opis: problem s preljevom međuspremnika riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6224: natashenka (Google Project Zero)

IOKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerne su aplikacije mogle izaći izvan ograničene memorije

Opis: problem sa zamjenom vrsta riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6214: Ian Beer (Google Project Zero)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerna aplikacija mogla bi povećati ovlasti

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti.

CVE-2019-6225: Brandon Azad (Google Project Zero), Qixun Zhao (Qihoo 360 Vulcan Team)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: uz kernelske ovlasti zlonamjerna aplikacija može izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-6210: Ned Williamson (Google)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerna aplikacija mogla je izazvati neočekivane promjene u memoriji koja se dijeli između procesa

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom zaključanog statusa.

CVE-2019-6205: Ian Beer (Google Project Zero)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: uz kernelske ovlasti neka aplikacija mogla bi izvršiti proizvoljni kod

Opis: prekoračenje spremnika riješeno je poboljšanom provjerom ograničenja.

CVE-2019-6213: Ian Beer (Google Project Zero)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerna aplikacija može odrediti raspored elemenata kernelske memorije

Opis: otkriven je problem s prekoračenjem čitanja, koji je doveo do otkrivanja sadržaja kernelske memorije. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-6209: Brandon Azad (Google Project Zero)

Kernel

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerna aplikacija mogla je izazvati neočekivane promjene u memoriji koja se dijeli između procesa

Opis: problem s inicijalizacijom memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6208: Jann Horn (Google Project Zero)

Tipkovnica

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: značajka automatskog unosa lozinke mogla je i nakon ručnog brisanja ponovno unijeti lozinku

Opis: u automatskom unosu lozinke otkriven je problem zbog kojeg se lozinka unosila i nakon što je značajka poništena. Taj je problem je riješen poboljšanim upravljanjem stanjem.

CVE-2019-6206: Sergej Peršenkov

libxpc

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: uz kernelske ovlasti zlonamjerna aplikacija može izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-6218: Ian Beer (Google Project Zero)

Obrada prirodnog jezika

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjerne poruke moglo se uzrokovati odbijanje usluge

Opis: problem s odbijanjem usluge riješen je poboljšanom provjerom valjanosti.

CVE-2019-6219: Authier Thomas

Čitač za Safari

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do napada unakrsnim skriptiranjem na više web-mjesta

Opis: u pregledniku Safari otkriven je problem sa skriptiranjem na više stranica. Problem je riješen poboljšanom provjerom valjanosti URL-a.

CVE-2019-6228: Ryan Pickren (ryanpickren.com)

SQLite

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: zlonamjerni SQL upit mogao je dovesti do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2018-20346: Tencent Blade Team

CVE-2018-20505: Tencent Blade Team

CVE-2018-20506: Tencent Blade Team

WebKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6227: Qixun Zhao (Qihoo 360 Vulcan Team)

CVE-2019-6233: G. Geshev (MWR Labs) i inicijativa Zero Day (Trend Micro)

CVE-2019-6234: G. Geshev (MWR Labs) i inicijativa Zero Day (Trend Micro)

WebKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do univerzalnog unakrsnog skriptiranja na više web-mjesta

Opis: problem s logikom riješen je poboljšanom provjerom valjanosti.

CVE-2019-6229: Ryan Pickren (ryanpickren.com)

WebKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem sa zamjenom vrsta riješen je poboljšanim upravljanjem memorijom.

CVE-2019-6215: Lokihardt (Google Project Zero)

WebKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2019-6212: Mike Zhang (tim tvrtke Pangu), Wen Xu (SSLab, Georgia Tech)

CVE-2019-6216: Fluoroacetate i inicijativa Zero Day (Trend Micro)

CVE-2019-6217: Fluoroacetate i inicijativa Zero Day (Trend Micro), Proteas, Shrek_wzw i Zhuo Liang (Qihoo 360 Nirvan Team)

CVE-2019-6226: Apple

WebKit

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do otkrivanja osjetljivih korisničkih podataka

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2019-8570: James Lee (@Windowsrcer) (S2SWWW.com)

WebRTC

Dostupno za: iPhone 5s i noviji, iPad Air i noviji te iPod touch šeste generacije

Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.

CVE-2019-6211: Georgi Geshev (@munmap), Fabi Beterke (@pwnfl4k3s) i Rob Miller (@trotmaster99) (MWR Labs (@mwrlabs)) i inicijativa Zero Day (Trend Micro)

Dodatna zahvala

mDNSResponder

Na pomoći zahvaljujemo Fatemah Alharbi (Kalifornijsko sveučilište, Riverside (UCR) i Sveučilište Taibah (TU)), Fengu Qianu (Sveučilište u Minnesoti – Twin City), Jieu Changu (LinkSure Network), Naelu Abu-Ghazalehu (Kalifornijsko sveučilište, Riverside (UCR)), Yuchenu Zhouu (Sveučilište Northeastern), Zhiyunu Qianu (Kalifornijsko sveučilište, Riverside (UCR)).

Čitač za Safari

Na pomoći zahvaljujemo Ryanu Pickrenu (ryanpickren.com).

WebKit

Na pomoći zahvaljujemo Jamesu Leeu (@Windowsrcer) (Kryptos Logic).