Informazioni sugli aggiornamenti di sicurezza Apple
Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. È possibile trovare un elenco delle nuove versioni alla pagina Versioni di sicurezza Apple.
Quando possibile, i documenti di sicurezza Apple utilizzano gli ID CVE per indicare le vulnerabilità.
Per ulteriori informazioni sulla sicurezza, consulta questo articolo sulla sicurezza dei prodotti Apple.
iOS 15.7.8 e iPadOS 15.7.8
Data di rilascio: 24 luglio 2023
Accessibility
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: un problema di privacy è stato risolto migliorando la redazione dei dati privati per i log.
CVE-2023-40442: Nick Brook
Voce aggiunta l'8 settembre 2023
Apple Neural Engine
Disponibile per i dispositivi con Apple Neural Engine: iPhone 8 e modelli successivi, iPad Pro (3a generazione) e modelli successivi, iPad Air (3a generazione) e modelli successivi e iPad mini (5a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: il problema è stato risolto con una migliore gestione della memoria.
CVE-2023-34425: pattern-f (@pattern_F_) di Ant Security Light-Year Lab
Voce aggiunta il 27 luglio 2023
Apple Neural Engine
Disponibile per i dispositivi con Apple Neural Engine: iPhone 8 e modelli successivi, iPad Pro (3a generazione) e modelli successivi, iPad Air (3a generazione) e modelli successivi e iPad mini (5a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: il problema è stato risolto con una migliore gestione della memoria.
CVE-2023-23540: Mohamed GHANNAM (@_simo36)
CFNetwork
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'applicazione può leggere informazioni sensibili sulla posizione.
Descrizione: un problema di privacy è stato risolto migliorando la redazione dei dati privati per i log.
CVE-2023-40392: Wojciech Regula di SecuRing (wojciechregula.blog)
Voce aggiunta l'8 settembre 2023
Find My
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app può essere in grado di leggere informazioni sensibili sulla posizione.
Descrizione: un problema logico è stato risolto attraverso migliori restrizioni.
CVE-2023-32416: Wojciech Regula di SecuRing (wojciechregula.blog)
FontParser
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di un file di font dannoso può causare l'esecuzione di codice arbitrario. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente contro le versioni di iOS precedenti alla 15.7.1.
Descrizione: il problema è stato risolto attraverso una migliore gestione delle cache.
CVE-2023-41990: Apple, Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_) e Boris Larin (@oct0xor) di Kaspersky
Voce aggiunta l'8 settembre 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un utente collegato in remoto potrebbe causare l'interruzione del servizio.
Descrizione: il problema è stato risolto con controlli migliori.
CVE-2023-38603: Zweig di Kunlun Lab
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un utente remoto potrebbe causare l'arresto imprevisto del sistema o danneggiare la memoria del kernel
Descrizione: un problema di overflow del buffer è stato risolto attraverso una migliore gestione della memoria.
CVE-2023-38590: Zweig di Kunlun Lab
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2023-38598: Mohamed GHANNAM (@_simo36)
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di overflow dei numeri interi è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-36495: 香农的三蹦子 di Pangu Lab
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di lettura non nei limiti è stato risolto con un migliore controllo dei limiti.
CVE-2023-37285: Arsenii Kostromin (0x3c3e)
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di scrittura non nei limiti è stato risolto attraverso una migliore convalida dell'input.
CVE-2023-38604: un ricercatore anonimo
Voce aggiunta il 27 luglio 2023
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: il problema è stato risolto con una migliore gestione della memoria.
CVE-2023-32441: Peter Nguyễn Vũ Hoàng (@peternguyen14) di STAR Labs SG Pte. Ltd.
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe modificare lo stato sensibile del kernel. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente contro le versioni di iOS precedenti alla 15.7.1.
Descrizione: il problema è stato risolto attraverso una migliore gestione dello stato.
CVE-2023-38606: Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_) e Boris Larin (@oct0xor) di Kaspersky
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe eseguire codice arbitrario con privilegi kernel.
Descrizione: un problema di vulnerabilità use-after-free è stato risolto attraverso una migliore gestione della memoria.
CVE-2023-32433: Zweig di Kunlun Lab
CVE-2023-35993: Kaitao Xie e Xiaolong Bai di Alibaba Group
Kernel
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un utente collegato in remoto potrebbe causare l'interruzione del servizio.
Descrizione: il problema è stato risolto con controlli migliori.
CVE-2023-38603: Zweig di Kunlun Lab
Voce aggiunta il 22 dicembre 2023
libxpc
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app può essere in grado di causare l'interruzione del servizio.
Descrizione: un problema logico è stato risolto attraverso migliori controlli.
CVE-2023-38593: Noah Roskin-Frazee
Voce aggiunta il 27 luglio 2023
libxpc
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe ottenere privilegi root
Descrizione: un problema di gestione dei percorsi è stato risolto attraverso una migliore convalida.
CVE-2023-38565: Zhipeng Huo (@R3dF09) di Tencent Security Xuanwu Lab (xlab.tencent.com)
Voce aggiunta il 27 luglio 2023
Security
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe essere in grado di acquisire l'impronta digitale dell'utente.
Descrizione: il problema è stato risolto rimuovendo il codice vulnerabile.
CVE-2023-42831: James Duffy (mangoSecure)
Voce aggiunta il 22 dicembre 2023
Weather
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un'app potrebbe determinare la posizione corrente di un utente.
Descrizione: il problema è stato risolto migliorando la redazione delle informazioni sensibili.
CVE-2023-38605: Adam M.
Voce aggiunta l'8 settembre 2023
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un sito web potrebbe essere in grado di tenere traccia delle informazioni sensibili degli utenti.
Descrizione: un problema logico è stato risolto attraverso una migliore gestione dello stato.
WebKit Bugzilla: 257822
CVE-2023-38599: Hritvik Taneja, Jason Kim, Jie Jeff Xu, Stephan van Schaik, Daniel Genkin e Yuval Yarom
Voce aggiunta il 27 luglio 2023
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di un documento può causare un attacco di scripting cross-site.
Descrizione: il problema è stato risolto attraverso migliori controlli.
WebKit Bugzilla: 257299
CVE-2023-32445: Johan Carlsson (joaxcar)
Voce aggiunta il 27 luglio 2023
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di un contenuto web può causare l'esecuzione di codice arbitrario. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.
Descrizione: il problema è stato risolto con controlli migliori.
WebKit Bugzilla: 259231
CVE-2023-37450: un ricercatore anonimo
Voce aggiunta il 27 luglio 2023
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: un sito web potrebbe essere in grado di bypassare la Same Origin Policy.
Descrizione: il problema è stato risolto con controlli migliori.
WebKit Bugzilla: 256549
CVE-2023-38572: Narendra Bhati (twitter.com/imnarendrabhati) di Suma Soft Pvt. Ltd, Pune - India
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: una persona malintenzionata collegata in remoto può uscire dalla sandbox dei contenuti web. Apple è a conoscenza di un report secondo cui questo problema potrebbe essere stato sfruttato attivamente.
Descrizione: il problema è stato risolto con migliori controlli dei limiti.
WebKit Bugzilla: 255350
CVE-2023-32409: Clément Lecigne of Google's Threat Analysis Group e Donncha Ó Cearbhaill del Security Lab di Amnesty International
WebKit
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di contenuti web può causare l'esecuzione di codice arbitrario
Descrizione: il problema è stato risolto con controlli migliori.
WebKit Bugzilla: 256865
CVE-2023-38594: Yuhao Hu
WebKit Process Model
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di contenuti web può causare l'esecuzione di codice arbitrario
Descrizione: il problema è stato risolto con controlli migliori.
WebKit Bugzilla: 258100
CVE-2023-38597: 이준성(Junsung Lee) di Cross Republic
WebKit Web Inspector
Disponibile per: iPhone 6s (tutti i modelli), iPhone 7 (tutti i modelli), iPhone SE (1a generazione), iPad Air 2, iPad mini (4a generazione) e iPod touch (7a generazione)
Impatto: l'elaborazione di contenuti web potrebbe divulgare informazioni sensibili.
Descrizione: il problema è stato risolto con controlli migliori.
WebKit Bugzilla: 256932
CVE-2023-38133: YeongHyeon Choi (@hyeon101010)
Altri riconoscimenti
Ringraziamo Parvez Anwar per l'assistenza.
Screenshots
Ringraziamo Eric Williams (@eric5310pub), Yannik Bloscheck (yannikbloscheck.com), Dametto Luca e Casati Jacopo per l'assistenza.
Voce aggiunta l'8 settembre 2023
WebKit
Ringraziamo Narendra Bhati (twitter.com/imnarendrabhati) di Suma Soft Pvt. Ltd, Pune - India per l'assistenza.
Voce aggiunta il 27 luglio 2023
WebRTC
Ringraziamo un ricercatore anonimo per l'assistenza.