A Safari 13.1 biztonsági változásjegyzéke

Ez a dokumentum a Safari 13.1 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Safari 13.1

Safari-letöltések

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy a rosszindulatú iframe-keretek egy másik webhely letöltési beállításait alkalmazták.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2020-9784: Ruilin Yang (Tencent Security Xuanwu Lab), Ryan Pickren (ryanpickren.com)

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak egy típustévesztési hibát.

CVE-2020-3901: Benjamin Randazzo (@____benjamin)

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy egy letöltés eredetének hozzárendelése helytelenül ment végbe.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2020-3887: Ryan Pickren (ryanpickren.com)

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-3895: grigoritchy

CVE-2020-3900: Dongzhuo Zhao a Venustech ADLab közreműködőjeként

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Az alkalmazások olvasni tudták a korlátozott memóriát.

Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.

CVE-2020-3894: Sergei Glazunov (Google Project Zero)

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: A távoli támadók elő tudták idézni egy tetszőleges kód végrehajtását.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak egy típustévesztési hibát.

CVE-2020-3897: Brendan Draper (@6r3nd4n), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor egy programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy felszabadítás utáni használattal kapcsolatos problémát.

CVE-2020-9783: Apple

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: A távoli támadók elő tudták idézni egy tetszőleges kód végrehajtását.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriafelhasználási hibát.

CVE-2020-3899: megtaláló: OSS-Fuzz

WebKit

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy beviteli érvényesség-ellenőrzési problémát.

CVE-2020-3902: Yiğit Can YILMAZ (@yilmazcanyigit)

WebKit-oldalbetöltés

A következőkhöz érhető el: macOS Mojave és macOS High Sierra, és a macOS Catalina részét képezi.

Érintett terület: Előfordult, hogy egy fájl URL-címének feldolgozása helytelenül ment végbe.

Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.

CVE-2020-3885: Ryan Pickren (ryanpickren.com)

További köszönetnyilvánítás

Safari

Köszönjük Dlive (Tencent Security Xuanwu Lab), Jacek Kolodziej (Procter & Gamble) és Justin Taft (One Up Security, LLC) segítségét.

Safari-bővítmények

Köszönjük Jeff Johnson (underpassapp.com) segítségét.

Safari olvasó

Köszönjük Nikhil Mittal (@c0d3G33k; Payatu Labs; payatu.com) segítségét.

WebKit

Köszönjük Emilio Cobos Álvarez (Mozilla) és Samuel Groß (Google Project Zero) segítségét.