Over de beveiligingsinhoud van Safari 13.1.2

In dit document wordt de beveiligingsinhoud van Safari 13.1.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Safari 13.1.2

Safari

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: het bezoeken van een kwaadaardige website kan leiden tot adresbalkvervalsing

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen met verbeterd statusbeheer.

CVE-2020-9942: een anonieme onderzoeker, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) van The City School, PAF Chapter, Ruilin Yang van het Tencent Security Xuanwu Lab, YoKo Kho (@YoKoAcc) van PT Telekomunikasi Indonesia (Persero) Tbk, Zhiyang Zeng(@Wester) van het OPPO ZIWU Security Lab

Safari-downloads

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een kwaadwillende aanvaller kan mogelijk de oorsprong van een frame voor een download wijzigen in de Safari Reader-modus

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2020-9912: Nikhil Mittal (@c0d3G33k) van Payatu Labs (payatu.com)

Automatisch invullen van wachtwoorden in Safari

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een kwaadaardige aanvaller kan ervoor zorgen dat Safari een wachtwoordsuggestie doet voor het verkeerde domein

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2020-9903: Nikhil Mittal (@c0d3G33k) van Payatu Labs (payatu.com)

Safari Reader

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een probleem in Safari Reader-modus kan een externe aanvaller in staat stellen om de Same Origin Policy te omzeilen

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2020-9911: Nikhil Mittal (@c0d3G33k) van Payatu Labs (payatu.com)

WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2020-9894: 0011 in samenwerking met het Trend Micro Zero Day Initiative

WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan verhinderen dat de Content Security Policy wordt gehandhaafd

Beschrijving: Er was een toegangsprobleem met Content Security Policy. Dit is verholpen met verbeterde toegangsbeperkingen.

CVE-2020-9915: Ayoub AIT ELMOKHTAR van Noon

WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot universele cross-site-scripting

Beschrijving: een logicaprobleem is verholpen door een verbeterd statusbeheer.

CVE-2020-9925: een anonieme onderzoeker

WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2020-9893: 0011 in samenwerking met het Trend Micro Zero Day Initiative

CVE-2020-9895: Wen Xu van het SSLab, Georgia Tech

WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een kwaadwillige aanvaller met willekeurige lees- en schrijfcapaciteiten kan Pointer Authentication omzeilen

Beschrijving: meerdere problemen zijn verholpen door verbeterde logica.

CVE-2020-9910: Samuel Groß van Google Project Zero

Het laden van pagina's in WebKit

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een kwaadwillige aanvaller kan de bestemming van een URL verbergen

Beschrijving: een probleem met het coderen van URL Unicode is verholpen door verbeterd statusbeheer.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit Web Inspector

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: het kopiëren van een URL uit Web Inspector kan leiden tot commando-injectie

Beschrijving: er was een probleem met commando-injectie in Web Inspector. Dit probleem is verholpen door een verbeterde ontsnapping.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

Beschikbaar voor: macOS Mojave, macOS High Sierra en inbegrepen in macOS Catalina

Impact: een aanvaller in een geprivilegieerde netwerkpositie kan heapbeschadiging veroorzaken via een vervaardigde SCTP-stream

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2020-6514: natashenka van Google Project Zero