Over de beveiligingsinhoud van Safari 12.1

In dit document wordt de beveiligingsinhoud van Safari 12.1 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Safari 12.1

Safari Reader

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het inschakelen van de Safari Reader-functie op een kwaadwillig vervaardigde website kan leiden tot universal cross-site scripting

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-6204: Ryan Pickren (ryanpickren.com)

CVE-2019-8505: Ryan Pickren (ryanpickren.com)

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8506: Samuel Groß van Google Project Zero

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8535: Zhiyang Zeng (@Wester) van Tencent Blade Team

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-6201: dwfault in samenwerking met ADLab van Venustech

CVE-2019-8518: Samuel Groß van Google Project Zero

CVE-2019-8523: Apple

CVE-2019-8524: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8558: Samuel Groß van Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

CVE-2019-8638: gevonden door OSS-Fuzz

CVE-2019-8639: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8536: Apple

CVE-2019-8544: een anonieme onderzoeker

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan gevoelige gebruikersgegevens openbaar maken

Beschrijving: er was een probleem met 'cross-origin'-aanvragen opgetreden met de fetch-API. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2019-8515: James Lee (@Windowsrcer)

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2019-7285: dwfault, werkend bij ADLab van Venustech

CVE-2019-8556: Apple

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: een schadelijke website kan mogelijk scripts uitvoeren in de context van een andere website

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-8503: Linus Särud van Detectify

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2019-7292: Zhunki en Zhiyi Zhang van 360 ESG Codesafe Team

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2019-8562: Wen Xu van SSLab van Georgia Tech en Hanqing Zhao van Chaitin Security Research Lab

WebKit

Beschikbaar voor: macOS Sierra 10.12.6, macOS High Sierra 10.13.6 en macOS Mojave 10.14.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot universele cross-site-scripting

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-8551: Ryan Pickren (ryanpickren.com)

Aanvullende erkenning

Safari

Met dank aan Ryan Pickren (ryanpickren.com), Nikhil Mittal (@c0d3G33k) van Payatu Labs (payatu.com) voor hun hulp.

WebKit

Met dank aan Andrey Kovalev van Yandex Security Team voor zijn hulp.