Over de beveiligingsinhoud van Safari 11.1

In dit document wordt de beveiligingsinhoud van Safari 11.1 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging. U kunt communicatie met Apple coderen via de Apple Product Security PGP-sleutel.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Safari 11.1

Releasedatum: 29 maart 2018

Safari

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het bezoeken van een schadelijke website kan leiden tot adresbalkvervalsing

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen met verbeterd statusbeheer.

CVE-2018-4102: Kai Zhao van 3H security team

CVE-2018-4116: @littlelailo, xisigr van het Xuanwu Lab van Tencent (tencent.com)

Safari-downloads

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: in de Privémodus werden sommige downloads niet verwijderd uit de lijst met downloads

Beschrijving: er was een probleem met de bekendmaking van gegevens bij de verwerking van downloads in de Privémodus in Safari. Dit probleem is opgelost door extra validatie.

CVE-2018-4186: een anonieme onderzoeker

Toegevoegd op 2 mei 2018

Automatisch invullen van wachtwoorden in Safari

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een schadelijke website kan automatisch ingevulde gegevens in Safari exfiltreren zonder nadrukkelijke gebruikerinteractie.

Beschrijving: voor het automatisch invullen van gegevens in Safari was geen nadrukkelijke gebruikerinteractie vereist. Het probleem is verholpen door een verbeterde methodiek voor automatisch invullen.

CVE-2018-4137

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2018-4101: Yuan Deng van Ant-financial Light-Year Security Lab

CVE-2018-4114: gevonden door OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) van het Qihoo 360 Vulcan Team

CVE-2018-4121: Natalie Silvanovich van Google Project Zero

CVE-2018-4122: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4125: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4127: een anonieme onderzoeker in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng van Baidu Security Lab in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4130: Omair in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2018-4161: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4162: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4163: WanderingGlitch van het Zero Day Initiative van Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) van het Qihoo 360 Vulcan Team

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot een cross-site scripting-aanval

Beschrijving: er was een probleem met cross-site-scripting in Safari. Dit probleem is verholpen door een verbeterde validatie van URL's.

CVE-2018-4133: Anton Lopanitsyn van Wallarm, Linus Särud van Detectify (detectify.com), Yuji Tounai van NTT Communications Corporation

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: onverwachte interactie met indexeringstypes veroorzaakt een ASSERT-fout

Beschrijving: er was sprake van een matrixindexeringsprobleem bij het verwerken van een functie in JavaScriptCore. Dit probleem is verholpen door verbeterde controles.

CVE-2018-4113: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot een denial of service

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde invoervalidatie.

CVE-2018-4146: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een kwaadaardige website kan gegevens 'cross-origin' exfiltreren

Beschrijving: er was een probleem met 'cross-origin'-aanvragen opgetreden met de fetch-API. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2018-4117: een anonieme onderzoeker, een anonieme onderzoeker

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4207: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4208: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4209: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: onverwachte interactie met indexeringstypen veroorzaakte een fout

Beschrijving: er was sprake van een matrixindexeringsprobleem bij het verwerken van een functie in JavaScriptCore. Dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4210: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4212: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

WebKit

Beschikbaar voor: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 en macOS High Sierra 10.13.4

Impact: een onverwachte interactie veroorzaakt een ASSERT-fout

Beschrijving: dit probleem is verholpen door middel van verbeterde controles.

CVE-2018-4213: gevonden door OSS-Fuzz

Toegevoegd op 2 mei 2018

Aanvullende erkenning

WebKit

Met dank aan Johnny Nipper van Tinder Security Team voor zijn hulp.

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum: