Az iOS 17.1 és az iPadOS 17.1 biztonsági változásjegyzéke

Ez a dokumentum az iOS 17.1 és az iPadOS 17.1 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

iOS 17.1 és iPadOS 17.1

Kiadási dátum: 2023. október 25.

Automation

A következőkön érhető el: iPhone XS és újabb modellek, 12,9 hüvelykes, 2. generációs és újabb iPad Pro, 10,5 hüvelykes, iPad Pro, 11 hüvelykes, 1. generációs és újabb iPad Pro, 3. generációs és újabb iPad Air, 6. generációs és újabb iPad, valamint 5. generációs és újabb iPad mini

Érintett terület: A gyökérszintű jogosultsággal rendelkező alkalmazások hozzá tudtak férni személyes információkhoz.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2023-42952: Zhipeng Huo (@R3dF09) (Tencent Security Xuanwu Lab, xlab.tencent.com)

Bejegyzés hozzáadva: 2024. február 16.

Contacts

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.

CVE-2023-41072: Wojciech Regula (SecuRing, wojciechregula.blog) és Fitzl Csaba (@theevilbit, Offensive Security)

CVE-2023-42857: Noah Roskin-Frazee és Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Érintett terület: Az appok szolgáltatásmegtagadást tudtak előidézni.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-40449: Tomi Tokics (@tomitokics, iTomsn0w)

Core Recents

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: A problémát a naplózás megtisztításával orvosoltuk.

CVE-2023-42823

Bejegyzés hozzáadva: 2024. február 16.

FairPlay

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14, STAR Labs SG Pte. Ltd.)

Bejegyzés hozzáadva: 2024. február 16.

Find My

Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat

Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2023-40413: Adam M.

Find My

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: A fájlok hatékonyabb kezelésével elhárítottunk egy adatvédelmi problémát.

CVE-2023-42834: Fitzl Csaba (@theevilbit, Offensive Security)

Bejegyzés hozzáadva: 2024. február 16.

Game Center

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.

CVE-2023-42953: Michael (Biscuit) Thomas, @biscuit@social.lol

Bejegyzés hozzáadva: 2024. február 16.

ImageIO

Érintett terület: Egy kép feldolgozása lehetőséget adott folyamatmemória közzétételére.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-40416: JZ

ImageIO

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott képek feldolgozásakor sérült a halommemória.

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2023-42848: JZ

Bejegyzés hozzáadva: 2024. február 16.

IOTextEncryptionFamily

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-40423: anonim kutató

Kernel

Érintett terület: A már kernelszintű kódvégrehajtási jogosultságot szerzett támadók megkerülhették a kernelmemória használatára vonatkozó korlátozásokat.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-42849: Linus Henze (Pinauten GmbH, pinauten.de)

libc

Hatás: Az ártó szándékkal módosított bemenet feldolgozása tetszőleges kódfuttatáshoz vezethet a felhasználó által telepített alkalmazásokban.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-40446: inooo

Bejegyzés hozzáadva: 2023. november 3.

libxpc

Érintett terület: A rosszindulatú alkalmazások bizonyos esetekben gyökérszintű jogosultságokat tudtak szerezni.

Leírás: A szimbolikus hivatkozások hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2023-42942: Mickey Jin (@patch1t)

Bejegyzés hozzáadva: 2024. február 16.

Mail Drafts

Érintett terület: Az E-mail-cím elrejtése funkció váratlanul kikapcsolódhat.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Érintett terület: A készülékek passzív módon nyomon követhetők voltak a Wi-Fi MAC-címük alapján.

Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.

CVE-2023-42846: Talal Haj Bakry és Tommy Mysk (Mysk Inc. @mysk_co)

Passkeys

Hatás: A támadó hitelesítés nélkül hozzáférhet a jelkódokhoz

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2023-42847: anonim kutató

Photos

Hatás: A Rejtett fotók albumban lévő fényképeket hitelesítés nélkül megtekinthetik

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.

CVE-2023-42845: Bistrit Dahal

Bejegyzés frissítve: 2024. február 16.

Pro Res

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu és Guang Gong (360 Vulnerability Research Institute)

Pro Res

Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2023-42873: Mingxuan Yang (@PPPF00L), happybabywu és Guang Gong (360 Vulnerability Research Institute)

Bejegyzés hozzáadva: 2024. február 16.

Safari

Érintett terület: Előfordult, hogy a felhasználó nem tudta törölni a böngészési előzményeket.

Leírás: A gyorsítótárak hatékonyabb kezelésével hárítottuk el a problémát.

CVE-2023-42951: Adis Alic

Bejegyzés hozzáadva: 2024. február 16.

Sandbox

Érintett terület: A támadók bizonyos esetekben hozzá tudtak férni a csatlakoztatott hálózati kötetekhez a kezdőkönyvtárból.

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Bejegyzés hozzáadva: 2024. február 16.

Sandbox

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: Hatékonyabb állapotkezeléssel küszöbölték ki a problémát.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Bejegyzés hozzáadva: 2024. február 16.

Setup Assistant

Érintett terület: A fizikai hozzáféréshez jutó támadók bizonyos esetekben észrevétlenül létre tudtak hozni egy perzisztens Apple ID azonosított a törölt készüléken.

Leírás: Hatékonyabb állapotkezeléssel küszöbölték ki a problémát.

CVE-2023-42855: Sam Lakmaker

Bejegyzés hozzáadva: 2024. február 16.

Share Sheet

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula (SecuRing, wojciechregula.blog) és Cristian Dinca (Tudor Vianu National High School of Computer Science, Románia)

Bejegyzés hozzáadva: 2024. február 16.

Siri

Hatás: Egy fizikai hozzáféréssel rendelkező támadó a Siri segítségével hozzáférhet bizalmas felhasználói adatokhoz

Leírás: Úgy hárítottuk el a problémát, hogy korlátoztuk a zárolt készüléken felajánlott lehetőségek körét.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Bejegyzés frissítve: 2024. február 16.

Siri

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói információkat kiszivárogtatni

Leírás: A bizalmas információk hatékonyabb kivonatolásával megoldottuk a problémát.

CVE-2023-42946

Bejegyzés hozzáadva: 2024. február 16.

Status Bar

Hatás: Előfordulhat, hogy egy készüléket többé nem lehet zárolni

Leírás: A probléma a felhasználói felület hatékonyabb kezelésével hárult el.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, egy anonim kutató, Lorenzo Cavallaro és Harry Lewandowski

Weather

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.

Leírás: A naplóbejegyzéseknél alkalmazott adatvédelmi redakció fejlesztésével megoldottuk az adatvédelemmel kapcsolatos problémát.

CVE-2023-41254: Cristian Dinca (Tudor Vianu Országos Beiskolázású Informatikai Középiskola, Románia)

WebKit

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성 (Junsung Lee, Cross Republic)

WebKit

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy kétszeres felszabadítást előidéző hibát.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) és Vitor Pedreira (@0xvhp_, Agile Information Security)

Bejegyzés frissítve: 2024. február 16.

WebKit

Érintett terület: Az ártó szándékkal létrehozott webhelyek meglátogatásakor meghamisítható volt a címsáv.

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Bejegyzés hozzáadva: 2024. február 16.

WebKit

Érintett terület: Előfordult, hogy az Alkalmazások adatvédelmi jelentése váratlanul mentette a felhasználó privát böngészési tevékenységeit.

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College Of Technology, Bhopal, India)

Bejegyzés hozzáadva: 2024. február 16.

WebKit Process Model

Érintett terület: A webes tartalmak feldolgozása szolgáltatásmegtagadáshoz vezethetett.

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성(Junsung Lee)

További köszönetnyilvánítás

libarchive

Köszönjük Bahaa Naamneh segítségét.

libxml2

Köszönjük OSS-Fuzz, Ned Williamson (Google Project Zero) segítségét.

Power Manager

Köszönjük Xia0o0o0o (@Nyaaaaa_ovo) (University of California, San Diego) segítségét.

ReplayKit

Köszönjük Abhay Kailasia (@abhay_kailasia; Lakshmi Narain College of Technology, Bhopal) segítségét.

Bejegyzés hozzáadva: 2024. február 16.

VoiceOver

Köszönjük Abhay Kailasia (@abhay_kailasia) (Lakshmi Narain College Of Technology Bhopal India) segítségét.

WebKit

Köszönjük egy anonim kutató segítségét.

WebKit

Köszönjük Gishan Don Ranasinghe és egy anonim kutató segítségét.

Bejegyzés hozzáadva: 2024. február 16.

WidgetKit

Köszönjük Abhay Kailasia (@abhay_kailasia) (Lakshmi Narain College Of Technology Bhopal India) segítségét.

Bejegyzés hozzáadva: 2024. február 16.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: 2024. február 27.