Informacije o sigurnosnom sadržaju sustava iOS 13.2 i iPadOS 13.2.

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 13.2 i iPadOS 13.2.

Informacije o Appleovim sigurnosnim ažuriranjima

Da bi zaštitio korisnike, Apple ne otkriva ni ne potvrđuje sigurnosne probleme niti o njima raspravlja dok ih ne istraži i ne ponudi zakrpe ili nova izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.

Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

iOS 13.2 i iPadOS 13.2

Izdano 28. listopada 2019.

Računi

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: udaljeni napadač može probiti memoriju

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-8787: Steffen Klee (laboratorij za sigurno mobilno umrežavanje, Tehničko sveučilište Darmstadt)

App Store

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: lokalni napadač može se bez valjanih vjerodajnica prijaviti na račun korisnika koji je već bio prijavljen.

Opis: problem s autorizacijom riješen je poboljšanim upravljanjem stanjem.

CVE-2019-8803: Kiyeon An, 차민규 (CHA Minkyu)

Povezane domene

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: neispravno procesiranje URL-a može dovesti do eksfiltriranja podataka

Opis: otkriven je problem s parsiranjem URL-ova u porukama. Problem je riješen poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2019-8788: Juha Lindstedt (Pakastin, Mirko Tanania, Rauli Rikama, Zero Keyboard Ltd)

Zvuk

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8785: Ian Beer (Google Project Zero)

CVE-2019-8797: 08Tc3wBB i SSD Secure Disclosure

AVEVideoEncoder

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8795: 08Tc3wBB i SSD Secure Disclosure

Knjige

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: raščlanjivanjem zlonamjerne iBooks datoteke može doći do otkrivanja korisničkih podataka

Opis: postojao je problem s provjerom valjanosti prilikom rukovanja simboličkim vezama. Taj je problem riješen poboljšanom provjerom simboličkih veza.

CVE-2019-8789: Gertjan Franken (imec-DistriNet, KU Leuven)

Kontakti

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: obradom zlonamjernog kontakta može se krivotvoriti korisničko sučelje

Opis: problem s nedosljednim sučeljem riješen je poboljšanim upravljanjem stanjem.

CVE-2017-7152: Oliver Paukstadt (Thinking Objects GmbH (to.com))

Događaji datotečnog sustava

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8798: ABC Research s.r.o. i inicijativa Zero Day (Trend Micro)

Upravljački program za grafičku karticu

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz sistemske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8784: Vasiliy Vasilyev i Ilya Finogeev (Webinar, LLC)

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: neke su aplikacije mogle čitati ograničenu memoriju

Opis: problem s provjerom valjanosti riješen je poboljšanom sanitizacijom ulaznih podataka.

CVE-2019-8794: 08Tc3wBB i SSD Secure Disclosure

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz kernelske ovlasti neke aplikacije mogu izvršiti proizvoljni kod

Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem memorijom.

CVE-2019-8786: anonimni istraživač

Kernel

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: uz kernelske ovlasti neke aplikacije mogle su izvršiti proizvoljni kod

Opis: ranjivost oštećenja memorije riješena je poboljšanim zaključavanjem.

CVE-2019-8829: Jann Horn (Google Project Zero)

Unos dodan 8. studenoga 2019.

Asistent za podešavanje

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: napadač koji se nalazi u blizini može natjerati korisnika na povezivanje sa zlonamjernom Wi-Fi mrežom tijekom postavljanja uređaja

Opis: riješen je problem s nedosljednošću postavki konfiguracije Wi-Fi mreže.

CVE-2019-8804: Christy Philip Mathew (Zimperium, Inc)

Snimanje zaslona

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: lokalni korisnik možda može snimati zaslon bez vidljivog indikatora snimanja zaslona

Opis: postojao je problem s dosljednošću prilikom donošenja odluke o tome kada prikazati indikator snimanja zaslona. Taj je problem riješen poboljšanim upravljanjem stanjem.

CVE-2019-8793: Ryan Jenkins (srednja škola Lake Forrest)

WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do univerzalnog unakrsnog skriptiranja na više web-mjesta

Opis: logički problem riješen je poboljšanim upravljanjem stanjem.

CVE-2019-8813: anonimni istraživač

WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2019-8782: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8783: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8808: otkrio OSS-Fuzz

CVE-2019-8811: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8812: anonimni istraživač

CVE-2019-8814: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8816: Soyeon Park (SSLab, Georgia Tech)

CVE-2019-8819: Cheolung Lee (tim za sigurnost, LINE+)

CVE-2019-8820: Samuel Groß (Google Project Zero)

CVE-2019-8821: Sergei Glazunov (Google Project Zero)

CVE-2019-8822: Sergei Glazunov (Google Project Zero)

CVE-2019-8823: Sergei Glazunov (Google Project Zero)

Model procesiranja za WebKit

Dostupno za: iPhone 6s i noviji, iPad Air 2 i noviji, iPad mini 4 i noviji te iPod touch 7. generacije

Učinak: obradom zlonamjernog web-sadržaja može doći do izvršavanja proizvoljnog koda

Opis: veći broj problema s oštećenom memorijom riješen je poboljšanim rukovanjem memorijom.

CVE-2019-8815: Apple

Dodatna zahvala

CFNetwork

Željeli bismo zahvaliti Lily Chen (Google) na pomoći.

Kernel

Željeli bismo zahvaliti Danielu Roethlisbergeru (Swisscom CSIRT) i Jannu Hornu (Google Project Zero) na pomoći.

Unos ažuriran 8. studenoga 2019.

WebKit

Željeli bismo zahvaliti Dliveu (Tencentov odjel Xuanwu Lab) i Zhiyi Zhang (tim Codesafe. Legendsec grupacije Qi'anxin) na pomoći.

Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ni proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Prilikom korištenja interneta uvijek postoje rizici. Obratite se davatelju usluge da biste saznali više. Nazivi drugih tvrtki i proizvoda mogu biti robne marke svojih vlasnika.

Datum objave: