A Safari 13.0.1 biztonsági változásjegyzéke

Ez a dokumentum a Safari 13.0.1 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

Safari 13.0.1

Safari

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Az ártó szándékkal létrehozott webhelyek meglátogatásakor meghamisítható volt a felhasználói felület.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.

CVE-2019-8654: Juno Im (@junorouse; Theori)

Service Workerek

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Előfordult, hogy a Service Workerek privát böngészési előzményeket szivárogtattak ki.

Leírás: A Service Workerek élettartamának hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2019-8725: Michael Thwaite (Connect Medi)

WebKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak sértették az iframe sandbox-házirendet.

Leírás: Az iframe sandbox hatékonyabb érvényesítésével hárult el a probléma.

CVE-2019-8771: Eliya Stein (Confiant)

WebKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak több, memóriasérüléssel kapcsolatos problémát.

CVE-2019-8710: megtaláló: OSS-Fuzz

CVE-2019-8743: zhunki (Codesafe Team, Legendsec, Qi'anxin Group)

CVE-2019-8751: Dongzhuo Zhao a Venustech ADLab közreműködőjeként

CVE-2019-8752: Dongzhuo Zhao a Venustech ADLab közreműködőjeként

CVE-2019-8763: Sergei Glazunov (Google Project Zero)

CVE-2019-8765: Samuel Groß (Google Project Zero)

CVE-2019-8766: megtaláló: OSS-Fuzz

CVE-2019-8773: megtaláló: OSS-Fuzz

WebKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy logikai problémát.

CVE-2019-8764: Sergei Glazunov (Google Project Zero)

WebKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Hatékonyabb logika alkalmazásával elhárítottunk egy hitelesítési hibát.

CVE-2019-8762: Sergei Glazunov (Google Project Zero)

WebKit

A következőkhöz érhető el: macOS Mojave 10.14.6, macOS High Sierra 10.13.6.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy memóriasérülési hibát.

CVE-2020-9932: Dongzhuo Zhao, a Venustech ADLab közreműködőjeként

További köszönetnyilvánítás

Safari

Köszönjük Yiğit Can YILMAZ (@yilmazcanyigit), Zhiyang Zeng (@Wester) (OPPO ZIWU Cyber Security Lab) segítségét.