Over de beveiligingsinhoud van iOS 14.2 en iPadOS 14.2
In dit document wordt de beveiligingsinhoud van iOS 14.2 en iPadOS 14.2 beschreven.
Over Apple beveiligingsupdates
Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.
Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.
Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.
iOS 14.2 en iPadOS 14.2
Audio
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-27910: JunDong Xie en XingWei Li van het Ant Security Light-Year Lab
Audio
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-27916: JunDong Xie van het Ant Security Light-Year Lab
CallKit
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een gebruiker kan twee gesprekken tegelijk beantwoorden zonder indicatie dat een tweede gesprek is beantwoord
Beschrijving: er was een probleem bij de verwerking van inkomende gesprekken. Dit probleem is verholpen met extra statuscontroles.
CVE-2020-27925: Nick Tangri
CoreAudio
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-10017: Francis in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie van het Ant Security Light-Year Lab
CoreAudio
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd audiobestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-27908: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van Ant Security Light-Year Lab
CVE-2020-27909: anoniem in samenwerking met het Zero Day Initiative van Trend Micro, JunDong Xie en Xingwei Lin van Ant Security Light-Year Lab
CoreGraphics
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigde pdf kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-9897: S.Y. van ZecOps Mobile XDR, een anonieme onderzoeker
CoreText
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2020-27922: Mickey Jin van Trend Micro
Crashrapportage
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: er was een probleem bij de validatielogica van het pad voor symlinks. Dit probleem is verholpen met verbeterde opschoning van het pad.
CVE-2020-10003: Tim Michaud (@TimGMichaud) van Leviathan
FontParser
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd lettertype kan leiden tot het uitvoeren van willekeurige code. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.
Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.
CVE-2020-27930: Google Project Zero
FontParser
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd lettertypebestand kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2020-27927: Xingwei Lin van het Ant Security Light-Year Lab
Foundation
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een lokale gebruiker kan willekeurige bestanden lezen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2020-10002: James Hutchins
ImageIO
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-27924: Lei Sun
ImageIO
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-27912: Xingwei Lin van het Ant Security Light-Year Lab
CVE-2020-27923: Lei Sun
IOAcceleratorFamily
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een schadelijk programma kan willekeurige code uitvoeren met systeembevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2020-27905: Mohamed Ghannam (@_simo36)
Kernel
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een kwaadwillig vervaardigd programma kan kernelgeheugen vrijgeven. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.
Beschrijving: een probleem met geheugeninitialisatie is verholpen.
CVE-2020-27950: Google Project Zero
Kernel
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een kwaadaardig programma kan de lay-out van het kernelgeheugen bepalen
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2020-9974: Tommy Muir (@Muirey03)
Kernel
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een programma kan willekeurige code uitvoeren met kernelbevoegdheden
Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.
CVE-2020-10016: Alex Helie
Kernel
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een kwaadwillig programma kan willekeurige code uitvoeren met kernelbevoegdheden. Apple is op de hoogte van meldingen dat er in de praktijk misbruik wordt gemaakt van dit probleem.
Beschrijving: een type confusion-probleem is verholpen door een verbeterde statusverwerking.
CVE-2020-27932: Google Project Zero
Keyboard
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een persoon met fysieke toegang tot een iOS-apparaat heeft mogelijk toegang tot bewaarde wachtwoorden zonder identiteitscontrole
Beschrijving: een probleem met identiteitscontrole is verholpen door verbeterd statusbeheer.
CVE-2020-27902: Connor Ford (@connorford2)
libxml2
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2020-27917: gevonden door OSS-Fuzz
CVE-2020-27920: gevonden door OSS-Fuzz
libxml2
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken
Beschrijving: een probleem met overloop van gehele getallen is verholpen door een verbeterde invoervalidatie.
CVE-2020-27911: gevonden door OSS-Fuzz
libxml2
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2020-27926: gevonden door OSS-Fuzz
Logging
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.
CVE-2020-10010: Tommy Muir (@Muirey03)
Model I/O
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het openen van een kwaadwillig vervaardigd bestand kan leiden tot het onverwacht afsluiten van het programma of het uitvoeren van willekeurige code
Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.
CVE-2020-10004: Aleksandar Nikolic van Cisco Talos
Model I/O
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd USD-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.
CVE-2020-13524: Aleksandar Nikolic van Cisco Talos
Model I/O
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: het verwerken van een kwaadwillig vervaardigd USD-bestand kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code
Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.
CVE-2020-10011: Aleksandar Nikolic van Cisco Talos
Symptom Framework
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2020-27899: 08Tc3wBB in samenwerking met ZecOps
WebKit
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer en iPad mini 4 en nieuwer
Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code
Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.
CVE-2020-27918: Liu Long van het Ant Security Light-Year Lab
XNU
Beschikbaar voor: iPhone 6s en nieuwer, iPod touch (7e generatie), iPad Air 2 en nieuwer, en iPad mini 4 en nieuwer
Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen
Beschrijving: meerdere problemen zijn verholpen door verbeterde logica.
CVE-2020-27935: Lior Halphon (@LIJI32)
Aanvullende erkenning
NetworkExtension
Met dank aan een anonieme onderzoeker voor de hulp.
Safari
Met dank aan Gabriel Corona voor de hulp.
Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Neem contact op met de leverancier voor meer informatie.