Az iTunes 12.9.1-es Windows-verziójának biztonsági változásjegyzéke

Ez a dokumentum az iTunes 12.9.1-es Windows-verziójának biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben. Az Apple-lel folytatott kommunikációt az Apple termékbiztonsági PGP-kulcsának segítségével titkosíthatja.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

Az iTunes 12.9.1-es Windows-verziója

CoreCrypto

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: A támadók a Miller-Rabin-prímtesztben fennálló rések kihasználásával helytelenül tudtak beazonosítani prímszámokat.

Leírás: Probléma állt fenn a prímszámok meghatározásához használt módszerrel. Azáltal hárítottuk el a problémát, hogy pszeudovéletlen alapokat használunk a prímszámok teszteléséhez.

CVE-2018-4398: Martin Albrecht, Jake Massimo és Kenny Paterson (Royal Holloway, University of London) és Juraj Somorovsky (Ruhr University, Bochum)

ICU

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott karakterláncok feldolgozásakor sérült a halommemória.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottak egy memóriasérülési hibát.

CVE-2018-4394: Erik Verbruggen (The Qt Company)

Safari-olvasó

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: A Safari Olvasó ártó szándékkal létrehozott weboldalon való engedélyezése webhelyek közötti, parancsfájlt alkalmazó univerzális támadásokra adott lehetőséget.

Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy logikai hibát.

CVE-2018-4374: Ryan Pickren (ryanpickren.com)

Safari-olvasó

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: A Safari Olvasó ártó szándékkal létrehozott weboldalon való engedélyezése webhelyek közötti, parancsfájlt alkalmazó univerzális támadásokra adott lehetőséget.

Leírás: Webhelyek közötti, parancsfájlt alkalmazó támadással összefüggő probléma állt fenn a Safari böngészőben. Hatékonyabb URL-ellenőrzéssel hárítottuk el a problémát.

CVE-2018-4377: Ryan Pickren (ryanpickren.com)

WebKit

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.

Leírás: Hatékonyabb memóriakezeléssel elhárítottak több, memóriasérüléssel kapcsolatos problémát.

CVE-2018-4372: HyungSeok Han, DongHyeon Oh és Sang Kil Cha (KAIST Softsec Lab, Korea)

CVE-2018-4373: ngg, alippai, DirtYiCE, KT (Tresorit), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4375: Yu Haiwan és Wu Hongjun (Nanyang Technological University), a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4376: 010, a Trend Micro Zero Day Initiative kezdeményezésének közreműködőjeként

CVE-2018-4382: lokihardt (Google Project Zero)

CVE-2018-4386: lokihardt (Google Project Zero)

CVE-2018-4392: zhunki (360 ESG Codesafe Team)

CVE-2018-4416: lokihardt (Google Project Zero)

WebKit

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: Az ártó szándékkal létrehozott webhelyek szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy erőforrásfogyással kapcsolatos hibát.

CVE-2018-4409: Sabri Haddouche (@pwnsdx; Wire Swiss GmbH)

WebKit

A következőkhöz érhető el: Windows 7 és újabb verziók.

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor egy programkód végrehajtására került sor.

Leírás: Hatékonyabb ellenőrzéssel elhárítottak egy memóriasérülési hibát.

CVE-2018-4378: HyungSeok Han, DongHyeon Oh és Sang Kil Cha (KAIST Softsec Lab, Korea), zhunki (360 ESG Codesafe Team)

További köszönetnyilvánítás

Safari-olvasó

Köszönjük Ryan Pickren (ryanpickren.com) segítségét.