A Safari 12.0.1 biztonsági változásjegyzéke

Ez a dokumentum a Safari 12.0.1 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben. Az Apple-lel folytatott kommunikációt az Apple termékbiztonsági PGP-kulcsának segítségével titkosíthatja.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

Safari 12.0.1

Safari-olvasó

A következőkhöz érhető el: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 és macOS Mojave 10.14.

Érintett terület: A Safari Olvasó ártó szándékkal létrehozott weboldalon való engedélyezése webhelyek közötti, parancsfájlt alkalmazó univerzális támadásokra adott lehetőséget.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy logikai hibát.

CVE-2018-4374: Ryan Pickren (ryanpickren.com)

Safari-olvasó

A következőkhöz érhető el: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 és macOS Mojave 10.14.

Érintett terület: A Safari Olvasó ártó szándékkal létrehozott weboldalon való engedélyezése webhelyek közötti, parancsfájlt alkalmazó univerzális támadásokra adott lehetőséget.

Leírás: Webhelyek közötti, parancsfájlt alkalmazó támadással összefüggő probléma állt fenn a Safari böngészőben. Hatékonyabb URL-ellenőrzéssel hárítottuk el a problémát.

CVE-2018-4377: Ryan Pickren (ryanpickren.com)

WebKit

A következőkhöz érhető el: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 és macOS Mojave 10.14.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak több, memóriasérüléssel kapcsolatos problémát.

CVE-2018-4372: HyungSeok Han, DongHyeon Oh és Sang Kil Cha (KAIST Softsec Lab, Korea)

CVE-2018-4373: ngg, alippai, DirtYiCE, KT (Tresorit), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4375: Yu Haiwan és Wu Hongjun (Nanyang Technological University), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4376: 010, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4382: lokihardt (Google Project Zero)

CVE-2018-4386: lokihardt (Google Project Zero)

CVE-2018-4392: zhunki (360 ESG Codesafe Team)

CVE-2018-4416: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 és macOS Mojave 10.14.

Érintett terület: Az ártó szándékkal létrehozott webhelyek szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy erőforrásfogyással kapcsolatos hibát.

CVE-2018-4409: Sabri Haddouche (@pwnsdx; Wire Swiss GmbH)

WebKit

A következőkhöz érhető el: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 és macOS Mojave 10.14.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor egy programkód végrehajtására került sor.

Leírás: Hatékonyabb ellenőrzéssel elhárítottak egy memóriasérülési hibát.

CVE-2018-4378: HyungSeok Han, DongHyeon Oh és Sang Kil Cha (KAIST Softsec Lab, Korea), zhunki (360 ESG Codesafe Team)

További köszönetnyilvánítás

Safari

Köszönjük Yiğit Can YILMAZ (@yilmazcanyigit) segítségét.

Safari-olvasó

Köszönjük Ryan Pickren (ryanpickren.com) segítségét.