Over de beveiligingsinhoud van Safari 11.1

In dit document wordt de beveiligingsinhoud van Safari 11.1 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple versleutelen via de Apple Product Security PGP-sleutel.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Safari 11.1

Safari

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het bezoeken van een kwaadaardige website kan leiden tot adresbalkvervalsing

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen met verbeterd statusbeheer.

CVE-2018-4102: Kai Zhao van 3H security team

CVE-2018-4116: @littlelailo, xisigr van het Xuanwu Lab van Tencent (tencent.com)

Safari-downloads

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: in de privémodus werden sommige downloads niet verwijderd uit de lijst met downloads

Beschrijving: er was een probleem met de bekendmaking van gegevens bij de verwerking van downloads in de privémodus in Safari. Dit probleem is opgelost door extra validatie.

CVE-2018-4186: een anonieme onderzoeker

Automatisch invullen van wachtwoorden in Safari

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een kwaadaardige website kan automatisch ingevulde gegevens in Safari exfiltreren zonder nadrukkelijke gebruikersinteractie.

Beschrijving: voor het automatisch invullen van gegevens in Safari was geen nadrukkelijke gebruikersinteractie vereist. Het probleem is verholpen door een verbeterde methodiek voor automatisch invullen.

CVE-2018-4137

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2018-4101: Yuan Deng van Ant-financial Light-Year Security Lab

CVE-2018-4114: gevonden door OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) van het Qihoo 360 Vulcan Team

CVE-2018-4121: natashenka van Google Project Zero

CVE-2018-4122: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4125: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4127: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng van Baidu Security Lab in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4130: Omair in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4161: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4162: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4163: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) van het Qihoo 360 Vulcan Team

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot een cross-site scripting-aanval

Beschrijving: er was een probleem met cross-site-scripting in Safari. Dit probleem is verholpen door een verbeterde validatie van URL's.

CVE-2018-4133: Anton Lopanitsyn van Wallarm, Linus Särud van Detectify (detectify.com), Yuji Tounai van NTT Communications Corporation

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: onverwachte interactie met indexeringstypen veroorzaakt een ASSERT-fout

Beschrijving: er was sprake van een matrix-indexeringsprobleem bij het verwerken van een functie in JavaScriptCore. Dit probleem is verholpen door verbeterde controles.

CVE-2018-4113: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot een denial of service

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2018-4146: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een kwaadaardige website kan gegevens 'cross-origin' exfiltreren

Beschrijving: er was een probleem met 'cross-origin'-aanvragen opgetreden met de fetch-API. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2018-4117: een anonieme onderzoeker, een anonieme onderzoeker

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4207: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4208: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4209: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: onverwachte interactie met indexeringstypen veroorzaakte een fout

Beschrijving: er was sprake van een matrix-indexeringsprobleem bij het verwerken van een functie in JavaScriptCore. Dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4210: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4212: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4213: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2018-4145: gevonden door OSS-Fuzz

Aanvullende erkenning

WebKit

Met dank aan Johnny Nipper van Tinder Security Team voor zijn hulp.