A Safari 10.1.1 biztonsági tartalma

Ez a dokumentum a Safari 10.1.1 biztonsági tartalmát ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben. Az Apple-lel folytatott kommunikációt az Apple termékbiztonsági PGP-kulcsának segítségével titkosíthatja.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

Safari 10.1.1

JavaScriptCore

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor váratlan alkalmazásleállásra vagy tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk több, memóriasérüléssel kapcsolatos problémát.

CVE-2017-7005: lokihardt (Google Project Zero)

Safari

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott weboldalak meglátogatásakor szolgáltatásmegtagadás lépett fel.

Leírás: Elhárítottuk a Safari előzményeket tartalmazó menüjével kapcsolatos problémát.

CVE-2017-2495: Tubasa Iinuma (@llamakko_cafe; Gehirn Inc.)

Safari

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webhelyek meglátogatásakor meghamisítható volt a címsáv.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.

CVE-2017-2500: Zhiyang Zeng és Yuyang Zhou (Tencent Security Platform Department)

CVE-2017-2511: Zhiyang Zeng (Tencent Security Platform Department)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk több, memóriasérüléssel kapcsolatos problémát.

CVE-2017-2496: Apple

CVE-2017-2505: lokihardt (Google Project Zero)

CVE-2017-2506: Zheng Huang (Baidu Security Lab), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2514: lokihardt (Google Project Zero)

CVE-2017-2515: lokihardt (Google Project Zero)

CVE-2017-2521: lokihardt (Google Project Zero)

CVE-2017-2525: Kai Kang (4B5F5F4B; Tencent; Xuanwu Lab; tencent.com), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2526: Kai Kang (4B5F5F4B; Tencent; Xuanwu Lab; tencent.com), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2530: Wei Yuan (Baidu Security Lab), Zheng Huang (Baidu Security Lab), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2531: lokihardt (Google Project Zero)

CVE-2017-2538: Richard Zhu (fluorescence), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2539: Richard Zhu (fluorescence), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2544: 360 Security (@mj0011sec), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-2547: lokihardt (Google Project Zero), Team Sniper (Keen Lab és PC Mgr), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2017-6980: lokihardt (Google Project Zero)

CVE-2017-6984: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Logikai probléma lépett fel a WebKit Editor-parancsok kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2017-2504: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Logikai probléma lépett fel a WebKit „container” csomópontjainak kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2017-2508: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Logikai probléma lépett fel a „pageshow” események kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2017-2510: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Logikai probléma lépett fel a WebKit gyorsítótárazott kereteinek kezelésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2017-2528: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk több, memóriasérüléssel kapcsolatos problémát.

CVE-2017-2536: Samuel Groß és Niklas Baumstark, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

WebKit

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása univerzális, webhelyek közötti, parancsfájlt alkalmazó támadásokra adott lehetőséget.

Leírás: Logikai probléma lépett fel a keretek betöltésekor. Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2017-2549: lokihardt (Google Project Zero)

WebKit Web Inspector

A következőkhöz érhető el: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 és macOS Sierra 10.12.5.

Érintett terület: Az alkalmazások aláíratlan kódot tudtak végrehajtani.

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy memóriasérülési hibát.

CVE-2017-2499: George Dan (@theninjaprawn)

További köszönetnyilvánítás

Safari

Köszönjük Flyin9_L (ZhenHui Lee, @ACITSEC) segítségét.