Over de beveiligingsinhoud van iTunes 12.9.4 voor Windows

In dit document wordt de beveiligingsinhoud van iTunes 12.9.4 voor Windows beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsupdates.

Apple beveiligingsdocumenten verwijzen naar kwetsbaarheden met CVE-ID waar mogelijk.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

iTunes 12.9.4 voor Windows

CoreCrypto

Beschikbaar voor: Windows 7 en hoger

Impact: een kwaadaardig programma kan de bevoegdheden verhogen

Beschrijving: een bufferoverloop is verholpen door verbeterde controle van grenzen.

CVE-2019-8542: een anonieme onderzoeker

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-6201: dwfault in samenwerking met ADLab van Venustech

CVE-2019-8518: Samuel Groß van Google Project Zero

CVE-2019-8523: Apple

CVE-2019-8524: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8558: Samuel Groß van Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

CVE-2019-8638: gevonden door OSS-Fuzz

CVE-2019-8639: gevonden door OSS-Fuzz

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een type confusion-probleem is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8506: Samuel Groß van Google Project Zero

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterd statusbeheer.

CVE-2019-8535: Zhiyang Zeng (@Wester) van Tencent Blade Team

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-6201: dwfault in samenwerking met ADLab van Venustech

CVE-2019-8518: Samuel Groß van Google Project Zero

CVE-2019-8523: Apple

CVE-2019-8524: G. Geshev in samenwerking met het Zero Day Initiative van Trend Micro

CVE-2019-8558: Samuel Groß van Google Project Zero

CVE-2019-8559: Apple

CVE-2019-8563: Apple

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan gevoelige gebruikersgegevens openbaar maken

Beschrijving: er was een probleem met 'cross-origin'-aanvragen opgetreden met de fetch-API. Dit probleem is verholpen door een verbeterde invoervalidatie.

CVE-2019-8515: James Lee (@Windowsrcer)

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde verwerking van het geheugen.

CVE-2019-8536: Apple

CVE-2019-8544: een anonieme onderzoeker

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2019-7285: dwfault, werkend bij ADLab van Venustech

CVE-2019-8556: Apple

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: een schadelijke website kan mogelijk scripts uitvoeren in de context van een andere website

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-8503: Linus Särud van Detectify

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: een proces in de sandbox kan de sandboxbeperkingen omzeilen

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2019-8562: Wen Xu van SSLab van Georgia Tech en Hanqing Zhao van Chaitin Security Research Lab

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot het vrijgeven van procesgeheugen

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2019-7292: Zhunki en Zhiyi Zhang van 360 ESG Codesafe Team

WebKit

Beschikbaar voor: Windows 7 en hoger

Impact: het verwerken van kwaadwillig vervaardigde webinhoud kan leiden tot universele cross-site-scripting

Beschrijving: een logicaprobleem is verholpen door verbeterde validatie.

CVE-2019-8551: Ryan Pickren (ryanpickren.com)

Aanvullende erkenning

Safari

Met dank aan Nikhil Mittal (@c0d3G33k) van Payatu Labs (payatu.com), Ryan Pickren (ryanpickren.com) voor hun hulp.

WebKit

Met dank aan Andrey Kovalev van Yandex Security Team voor zijn hulp.