Mengenai konten keamanan iTunes 12.9 untuk Windows

Dokumen ini menjelaskan konten keamanan iTunes 12.9 untuk Windows.

Mengenai pembaruan keamanan Apple

Demi melindungi pelanggan, Apple tidak mengungkapkan, membahas, atau mengonfirmasi masalah keamanan sebelum investigasi dilakukan dan perbaikan program atau rilis tersedia. Rilis terbaru tercantum pada halaman pembaruan keamanan Apple.

Untuk informasi lebih lanjut mengenai keamanan, buka halaman Keamanan Produk Apple. Anda dapat mengenkripsi komunikasi dengan Apple menggunakan Kunci PGP Keamanan Produk Apple.

Dokumen keamanan Apple memberikan referensi mengenai kerentanan menurut CVE-ID jika memungkinkan.

iTunes 12.9 untuk Windows

CFNetwork

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Aplikasi dapat mengeksekusi kode arbitrer dengan hak istimewa sistem

Deskripsi: Masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2018-4126: Bruno Keith (@bkth_) bekerja sama dengan Trend Micro's Zero Day Initiative

CoreFoundation

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Aplikasi dapat memperoleh hak istimewa yang lebih tinggi

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2018-4414: NCSC (National Cyber Security Centre) Inggris

CoreFoundation

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Aplikasi berbahaya mungkin dapat meningkatkan hak istimewa

Deskripsi: Masalah kerusakan memori telah diatasi dengan validasi input yang ditingkatkan.

CVE-2018-4412: NCSC (National Cyber Security Centre) Inggris

CoreText

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Memproses file teks perusak yang berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi dengan pengelolaan memori yang ditingkatkan.

CVE-2018-4347: Vasyl Tkachuk dari Readdle

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Interaksi tidak terduga mengakibatkan kegagalan ASSERT

Deskripsi: Masalah kerusakan memori telah diatasi melalui validasi yang ditingkatkan.

CVE-2018-4191: ditemukan oleh OSS-Fuzz

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Kesalahan Keamanan lintas sumber mencakup sumber bingkai yang diakses

Deskripsi: Masalah ini telah diatasi dengan menghapus informasi sumber.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Memproses konten web perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah kerusakan memori telah diatasi dengan pengelolaan status yang ditingkatkan.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) dari Qihoo 360 Vulcan Team

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Memproses konten web perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Beberapa masalah kerusakan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2018-4299: Samuel Groβ (saelo) bekerja sama dengan Zero Day Initiative dari Trend Micro

CVE-2018-4323: Ivan Fratric dari Google Project Zero

CVE-2018-4328: Ivan Fratric dari Google Project Zero

CVE-2018-4358: tim @phoenhex (@bkth_ @5aelo @_niklasb) bekerja sama dengan Zero Day Initiative dari Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Situs web berbahaya dapat mengakibatkan perilaku lintas sumber yang tidak terduga

Deskripsi: Masalah lintas sumber muncul pada elemen iframe. Masalah ini telah diatasi dengan peningkatan pelacakan sumber keamanan.

CVE-2018-4319: John Pettitt dari Google

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Situs web berbahaya dapat mengeksekusi skrip dalam konteks situs web lain

Deskripsi: Masalah skrip lintas situs muncul di Safari. Masalah ini telah diatasi melalui validasi URL yang ditingkatkan.

CVE-2018-4309: peneliti anonim bekerja sama dengan Zero Day Initiative dari Trend Micro

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Memproses konten web perusak berbahaya dapat mengakibatkan eksekusi kode arbitrer

Deskripsi: Masalah penggunaan setelah pengosongan telah diatasi melalui pengelolaan memori yang ditingkatkan.

CVE-2018-4197: Ivan Fratric dari Google Project Zero

CVE-2018-4306: Ivan Fratric dari Google Project Zero

CVE-2018-4312: Ivan Fratric dari Google Project Zero

CVE-2018-4314: Ivan Fratric dari Google Project Zero

CVE-2018-4315: Ivan Fratric dari Google Project Zero

CVE-2018-4317: Ivan Fratric dari Google Project Zero

CVE-2018-4318: Ivan Fratric dari Google Project Zero

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Situs web berbahaya dapat mengeksfiltrasi lintas sumber data gambar

Deskripsi: Masalah skrip lintas situs muncul di Safari. Masalah ini telah diatasi melalui validasi URL yang ditingkatkan.

CVE-2018-4345: Jun Kokatsu (@shhnjk)

WebKit

Tersedia untuk: Windows 7 dan versi lebih baru

Dampak: Interaksi tidak terduga mengakibatkan kegagalan ASSERT

Deskripsi: Masalah penggunaan memori telah diatasi dengan penanganan memori yang ditingkatkan.

CVE-2018-4361: ditemukan oleh OSS-Fuzz

CVE-2018-4474: ditemukan oleh OSS-Fuzz

Penghargaan tambahan

SQLite

Kami berterima kasih kepada Andreas Kurtz (@aykay) dari NESO Security Labs GmbH atas bantuannya.

WebKit

Kami berterima kasih kepada Cary Hartline, Hanming Zhang dari 360 Vulcan team, Tencent Keen Security Lab yang bekerja sama dengan Zero Day Initiative dari Trend Micro, dan Zach Malone dari CA Technologies atas bantuannya.