Over de beveiligingsinhoud van iOS 14.2 en iPadOS 14.2

In dit document wordt de beveiligingsinhoud van iOS 14.2 en iPadOS 14.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

iOS 14.2 en iPadOS 14.2

Gepubliceerd op 5 november 2020

Audio

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27910: JunDong Xie en XingWei Li van het Ant Security Light-Year Lab

Audio

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27916: JunDong Xie van het Ant Security Light-Year Lab

CallKit

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een gebruiker kan twee gesprekken tegelijk beantwoorden zonder indicatie dat een tweede gesprek is beantwoord

Beschrijving: er was een probleem bij de verwerking van inkomende gesprekken. Dit probleem is verholpen met extra statuscontroles.

CVE-2020-27925: Nick Tangri

CoreAudio

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-10017: Francis in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie van het Ant Security Light-Year Lab

CoreAudio

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27908: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van Ant Security Light-Year Lab

CVE-2020-27909: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van Ant Security Light-Year Lab

Bijgewerkt op 16 maart 2021

CoreGraphics

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde pdf kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-9897: S.Y. van ZecOps Mobile XDR, een anonieme onderzoeker

Toegevoegd op 25 oktober 2021

CoreText

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2020-27922: Mickey Jin van Trend Micro

Toegevoegd op 16 maart 2021

Crashrapportage

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: er was een probleem bij de validatielogica van het pad voor symlinks. Dit probleem is verholpen met verbeterde opschoning van het pad.

CVE-2020-10003: Tim Michaud (@TimGMichaud) van Leviathan

FontParser

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd lettertype kan leiden tot het uitvoeren van willekeurige code. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2020-27930: Google Project Zero

FontParser

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2020-27927: Xingwei Lin van het Ant Security Light-Year Lab

Foundation

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een lokale gebruiker kan willekeurige bestanden lezen

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2020-10002: James Hutchins

ImageIO

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27924: Lei Sun

Toegevoegd op 16 maart 2021

ImageIO

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-27912: Xingwei Lin van het Ant Security Light-Year Lab

CVE-2020-27923: Lei Sun

Bijgewerkt op 16 maart 2021

IOAcceleratorFamily

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een schadelijk programma kan willekeurige code uitvoeren met systeembevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2020-27905: Mohamed Ghannam (@_simo36)

Kernel

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een kwaadwillig vervaardigd programma kan kernelgeheugen vrijgeven. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.

Beschrijving: een probleem met geheugeninitialisatie is verholpen.

CVE-2020-27950: Google Project Zero

Kernel

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2020-9974: Tommy Muir (@Muirey03)

Kernel

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2020-10016: Alex Helie

Kernel

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een kwaadwillig programma kan willekeurige code uitvoeren met kernelbevoegdheden. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.

Beschrijving: een type confusion-probleem is verholpen door een verbeterde statusverwerking.

CVE-2020-27932: Google Project Zero

Keyboard

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een persoon met fysieke toegang tot een iOS-apparaat heeft mogelijk toegang tot bewaarde wachtwoorden zonder identiteitscontrole

Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.

CVE-2020-27902: Connor Ford (@connorford2)

libxml2

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27917: gevonden door OSS-Fuzz

CVE-2020-27920: gevonden door OSS-Fuzz

Bijgewerkt op 16 maart 2021

libxml2

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met overloop van gehele getallen is verholpen door een verbeterde invoervalidatie.

CVE-2020-27911: gevonden door OSS-Fuzz

libxml2

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27926: gevonden door OSS-Fuzz

Logging

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.

CVE-2020-10010: Tommy Muir (@Muirey03)

Model I/O

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het openen van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

CVE-2020-10004: Aleksandar Nikolic van Cisco Talos

Model I/O

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd USD-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-13524: Aleksandar Nikolic van Cisco Talos

Model I/O

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigd USD-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2020-10011: Aleksandar Nikolic van Cisco Talos

Symptom Framework

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27899: 08Tc3wBB in samenwerking met ZecOps

Toegevoegd op 15 december 2020

WebKit

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-27918: Liu Long van het Ant Security Light-Year Lab

Bijgewerkt op 16 maart 2021

XNU

Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer

Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen

Beschrijving: meerdere problemen zijn verholpen door verbeterde logica.

CVE-2020-27935: Lior Halphon (@LIJI32)

Toegevoegd op 15 december 2020

Aanvullende erkenning

NetworkExtension

Met dank aan een anonieme onderzoeker voor de hulp.

Toegevoegd op 15 december 2020

Safari

Met dank aan Gabriel Corona voor de hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.

Publicatiedatum: