Informacije o Appleovim sigurnosnim ažuriranjima
Da bi zaštitio korisnike, Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Nedavna izdanja navedena su na stranici Appleova sigurnosna ažuriranja.
Kad god je moguće, Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID.
Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.
iOS 16.1 i iPadOS 16
Objavljeno 24. listopada 2022.
Apple Neural Engine
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: uz kernelske ovlasti neke bi aplikacije mogle izvršiti proizvoljni kod
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-32932: Mohamed Ghannam (@_simo36)
Unos dodan 27. listopada 2022.
AppleMobileFileIntegrity
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izmijeniti zaštićene dijelove datotečnog sustava
Opis: problem je riješen uklanjanjem dodatnih prava.
CVE-2022-42825: Mickey Jin (@patch1t)
Apple TV
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: problem je riješen poboljšanim rukovanjem predmemorijama.
CVE-2022-32909: Csaba Fitzl (@theevilbit) (Offensive Security)
Unos je dodan 21. prosinca 2023.
Audio
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: parsiranjem zlonamjerne audiodatoteke moglo je doći do otkrivanja korisničkih podataka
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42798: anonimni istraživač i inicijativa Zero Day (Trend Micro)
Unos dodan 27. listopada 2022.
AVEVideoEncoder
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2022-32940: ABC Research s.r.o.
Backup
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla pristupiti sigurnosnim kopijama sustava iOS
Opis: problem s dozvolom riješen je dodatnim ograničenjima.
CVE-2022-32929: Csaba Fitzl (@theevilbit) (Offensive Security)
Unos dodan 27. listopada 2022.
CFNetwork
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjernog certifikata moglo bi doći do pokretanja proizvoljnog koda
Opis: u rukovanju objektom WKWebView otkriven je problem s provjerom valjanosti certifikata. Problem je riješen poboljšanom provjerom valjanosti.
CVE-2022-42813: Jonathan Zhang (Open Computing Facility (ocf.berkeley.edu))
Core Bluetooth
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla snimati zvuk s uparenim AirPods slušalicama
Opis: problem s pristupom riješen je dodatnim ograničenjima za memoriju za testiranje u aplikacijama treće strane.
CVE-2022-32945: Guilherme Rambo (Best Buddy Apps, rambo.codes)
Unos dodan 22. prosinca 2022.
Core Bluetooth
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla snimiti zvuk putem para povezanih AirPods slušalica
Opis: ovaj je problem riješen poboljšanim pravima.
CVE-2022-32946: Guilherme Rambo (Best Buddy Apps, rambo.codes)
FaceTime
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: korisnik bi mogao vidjeti ograničeni sadržaj na zaključanom zaslonu
Opis: problem sa zaključanim zaslonom riješen je poboljšanim upravljanjem stanjem.
CVE-2022-32935: Bistrit Dahal
Unos dodan 27. listopada 2022.
GPU Drivers
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-32947: Asahi Lina (@LinaAsahi)
Graphics Driver
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: uz kernelske ovlasti neke bi aplikacije mogle izvršiti proizvoljni kod
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2022-32939: Willy R. Vasquez (Sveučilište u Texasu, Austin)
Unos dodan 27. listopada 2022.
IOHIDFamily
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija može prouzročiti neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.
CVE-2022-42820: Peter Pan ZhenPeng (STAR Labs)
IOKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: stanje nadmetanja riješeno je poboljšanim zaključavanjem.
CVE-2022-42806: Tingting Yin (sveučilište Tsinghua University)
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla uzrokovati neočekivano zatvaranje sustava ili potencijalno izvršavanje koda uz kernelske ovlasti
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2022-46712: Tommy Muir (@Muirey03)
Unos je dodan 1. svibnja 2023.
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem s oštećenjem memorije riješen je poboljšanim upravljanjem stanjem.
CVE-2022-32944: Tim Michaud (@TimGMichaud) (Moveworks.ai)
Unos dodan 27. listopada 2022.
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: uz kernelske ovlasti neke bi aplikacije mogle izvršiti proizvoljni kod
Opis: stanje nadmetanja riješeno je poboljšanim zaključavanjem.
CVE-2022-42803: Xinru Chi (Pangu Lab), John Aakerblom (@jaakerblom)
Unos dodan 27. listopada 2022.
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija s korijenskim ovlastima mogla bi izvršiti proizvoljni kod s kernelskim ovlastima
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2022-32926: Tim Michaud (@TimGMichaud) (Moveworks.ai)
Unos dodan 27. listopada 2022.
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: uz kernelske ovlasti neke bi aplikacije mogle izvršiti proizvoljni kod
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2022-42801: Ian Beer (Google Project Zero)
Unos dodan 27. listopada 2022.
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-32924: Ian Beer (Google Project Zero)
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: udaljeni korisnik mogao bi uzrokovati izvršavanje kernelskog koda
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2022-42808: Zweig (Kunlun Lab)
Kernel
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: uz kernelske ovlasti neke bi aplikacije mogle izvršiti proizvoljni kod. Apple je upoznat s izvješćem o potencijalnom aktivnom iskorištavanju tog problema.
Opis: problem s pisanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.
CVE-2022-42827: anonimni istraživač
Model I/O
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjerne USD datoteke moglo je doći do otkrivanja sadržaja memorije
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42810: Xingwei Lin (@xwlin_roy) i Yinyi Wu (Ant Security Light-Year Lab)
Unos dodan 27. listopada 2022.
NetworkExtension
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla zaobići Postavke privatnosti
Opis: logički problem riješen je poboljšanim provjerama.
CVE-2022-46715: IES Red Team tvrtke ByteDance
Unos je dodan 1. svibnja 2023.
ppp
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: neka bi aplikacija mogla izvršiti proizvoljni kod uz kernelske ovlasti
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42828: anonimni istraživač
Unos je dodan 31. listopada 2023.
ppp
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: prekoračenje međuspremnika može rezultirati proizvoljnim izvršenjem koda
Opis: problem je riješen poboljšanim provjerama ograničenja.
CVE-2022-32941: anonimni istraživač
Unos dodan 27. listopada 2022.
ppp
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija s korijenskim ovlastima mogla bi izvršiti proizvoljni kod s kernelskim ovlastima
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
CVE-2022-42829: anonimni istraživač
ppp
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija s korijenskim ovlastima mogla bi izvršiti proizvoljni kod s kernelskim ovlastima
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-42830: anonimni istraživač
ppp
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija s korijenskim ovlastima mogla bi izvršiti proizvoljni kod s kernelskim ovlastima
Opis: stanje nadmetanja riješeno je poboljšanim zaključavanjem.
CVE-2022-42831: anonimni istraživač
CVE-2022-42832: anonimni istraživač
Safari
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: posjetom zlonamjernom web-mjestu mogli bi se odati osjetljivi podaci
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
CVE-2022-42817: Mir Masood Ali, doktorant, Sveučilište Illinois, Chicago; Binoy Chitale, student na dodiplomskom studiju, Sveučilište Stony Brook; Mohammad Ghasemisharif, kandidat za doktorski studij, Sveučilište Illinois, Chicago; Chris Kanich, izvanredni profesor, Sveučilište Illinois, Chicago; Nick Nikiforakis, izvanredni profesor, Sveučilište Stony Brook; Jason Polakis, izvanredni profesor, Sveučilište Illinois, Chicago
Unos je dodan 27. listopada 2022. godine, a ažuriran 31. listopada 2023.
Sandbox
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: aplikacija bi mogla pristupiti osjetljivima korisničkim podacima
Opis: problem s pristupom riješen je dodatnim ograničenjima za memoriju za testiranje.
CVE-2022-42811: Justin Bui (@slyd0g) (Snowflake)
Shortcuts
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: prečac bi mogao provjeriti postoji li arbitrarna putanja u datotečnom sustavu
Opis: problem raščlanjivanja prilikom rukovanja putovima direktorija riješen je poboljšanom provjerom valjanosti puta.
CVE-2022-32938: Cristian Dinca (Nacionalna srednja škola Tudor Vianu za računalnu znanost u Rumunjskoj)
Weather
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: određena aplikacija mogla bi čitati osjetljive podatke o lokaciji
Opis: taj je problem riješen poboljšanom zaštitom podataka.
CVE-2022-42792: anonimni istraživač
Unos je dodan 1. svibnja 2023.
WebKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 246669
CVE-2022-42826: Francisco Alonso (@revskills)
Unos dodan 22. prosinca 2022.
WebKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: posjet zlonamjernom web-mjestu mogao bi izazvati krivotvorenje korisničkog sučelja
Opis: problem je riješen poboljšanim rukovanjem korisničkim sučeljem.
WebKit Bugzilla: 243693
CVE-2022-42799: Jihwan Kim (@gPayl0ad), Dohyun Lee (@l33d0hyun)
WebKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem sa zamjenom vrsta riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 244622
CVE-2022-42823: Dohyun Lee (@l33d0hyun) (SSD Labs)
WebKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjernog web-sadržaja može doći do otkrivanja osjetljivih korisničkih podataka
Opis: logički problem riješen je poboljšanim upravljanjem stanjem.
WebKit Bugzilla: 245058
CVE-2022-42824: Abdulrahman Alqabandi (Microsoft Browser Vulnerability Research), Ryan Shin (AAI SecLab na Sveučilištu u Koreji), Dohyun Lee (@l33d0hyun) (DNSLab na Sveučilištu u Koreji)
WebKit PDF
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obradom zlonamjernog web-sadržaja moglo bi doći do izvršavanja proizvoljnog koda
Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.
WebKit Bugzilla: 242781
CVE-2022-32922: Yonghwi Jin (@jinmo123) (Theori) u suradnji s inicijativom Zero Day (Trend Micro)
WebKit
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: obrada zlonamjernog web-sadržaja može otkriti interna stanja aplikacije
Opis: problem s ispravnošću u JIT-u riješen je poboljšanim provjerama.
WebKit Bugzilla: 242964
CVE-2022-32923: Wonyoung Jung (@nonetype_pwn) (KAIST Hacking Lab)
Unos dodan 27. listopada 2022.
Wi-Fi
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: prijava na zlonamjernu Wi-Fi mrežu mogla bi dovesti do odbijanja usluge u aplikaciji Postavke
Opis: problem je riješen poboljšanim rukovanjem memorijom.
CVE-2022-32927: Dr Hideaki Goto (Sveučilište u Tohokuu, Japan)
Unos dodan 27. listopada 2022.
zlib
Dostupno za: iPhone 8 i novije modele, iPad Pro (sve modele), iPad Air 3. generacije i novije modele, iPad 5. generacije i novije modele te iPad mini 5. generacije i novije modele
Učinak: korisnik bi mogao uzrokovati neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda
Opis: taj je problem riješen poboljšanim provjerama.
CVE-2022-37434: Jevgenij Legerov
CVE-2022-42800: Jevgenij Legerov
Unos dodan 27. listopada 2022.
Dodatna zahvala
iCloud
Željeli bismo zahvaliti Timu Michaudu (@TimGMichaud) (Moveworks.ai) na pomoći.
IOGPUFamily
Željeli bismo zahvaliti Wangu Yuu iz tvrtke cyberserval na pomoći.
Unos je dodan 31. listopada 2023.
Image Processing
Željeli bismo zahvaliti Tingting Yin sa Sveučilišta Tsinghua na pomoći.
Unos je dodan 1. svibnja 2023.
Kernel
Željeli bismo zahvaliti Peteru Nguyenu (STAR Labs), Timu Michaudu (@TimGMichaud) (Moveworks.ai), Tommyju Muiru (@Muirey03) na pomoći.
WebKit
Željeli bismo zahvaliti Maddie Stone (Google Project Zero), Narendri Bhatiju (@imnarendrabhati) (Suma Soft Pvt. Ltd.) i anonimnom istraživaču na pomoći.