Over de beveiligingsinhoud van iOS 16.6 en iPadOS 16.6

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

Releasedatum: maandag 24 juli 2023

Accessibility

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-40442: Nick Brook

Toegevoegd op 31 oktober 2023

Accounts

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-40439: Kirin (@Pwnrin)

Toegevoegd op 31 oktober 2023

Apple Neural Engine

Beschikbaar voor apparaten met Apple Neural Engine: iPhone 8 en nieuwer, iPad Pro (3e generatie) en nieuwer, iPad Air (3e generatie) en nieuwer en iPad mini (5e generatie)

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-34425: pattern-f (@pattern_F_) van Ant Security Light-Year Lab

CVE-2023-38136: Mohamed GHANNAM (@_simo36)

CVE-2023-38580: Mohamed GHANNAM (@_simo36)

Bijgewerkt op 31 oktober 2023

CFNetwork

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-40392: Wojciech Regula van SecuRing (wojciechregula.blog)

Toegevoegd op 31 oktober 2023

Find My

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2023-40437: Kirin (@Pwnrin), en Wojciech Regula van SecuRing (wojciechregula.blog)

Toegevoegd op 31 oktober 2023

Find My

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk vertrouwelijke locatiegegevens lezen

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2023-32416: Wojciech Regula van SecuRing (wojciechregula.blog)

ImageIO

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van een kwaadwillig vervaardigde afbeelding kan leiden tot denial-of-service

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2022-3970: gevonden door OSS-Fuzz

Toegevoegd op 31 oktober 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een externe gebruiker kan het onverwacht beëindigen van het systeem of het beschadigen van het kernelgeheugen veroorzaken

Beschrijving: een probleem met bufferoverloop is verholpen door verbeterde verwerking van het geheugen.

CVE-2023-38590: Zweig van Kunlun Lab

Toegevoegd op 27 juli 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2023-38598: Mohamed GHANNAM (@_simo36)

Toegevoegd op 27 juli 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2023-36495: 香农的三蹦子 van Pangu Lab

Toegevoegd op 27 juli 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door verbeterde invoervalidatie.

CVE-2023-38604: een anonieme onderzoeker

Toegevoegd op 27 juli 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2023-32734: Pan ZhenPeng (@Peterpan0927) van STAR Labs SG Pte. Ltd.

CVE-2023-32441: Peter Nguyễn Vũ Hoàng (@peternguyen14) van STAR Labs SG Pte. Ltd.

CVE-2023-38261: een anonieme onderzoeker

CVE-2023-38424: Certik Skyfall Team

CVE-2023-38425: Certik Skyfall Team

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk gevoelige kernelstatus wijzigen. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem in versies van iOS die zijn uitgebracht vóór iOS 15.7.1. 

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2023-38606: Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_) en Boris Larin (@oct0xor) van Kaspersky

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2023-32381: een anonieme onderzoeker

CVE-2023-32433: Zweig van Kunlun Lab

CVE-2023-35993: Kaitao Xie en Xiaolong Bai van Alibaba Group

CVE-2023-41995: Certik Skyfall Team, pattern-f (@pattern_F_) van Ant Security Light-Year Lab

CVE-2023-38598: Mohamed GHANNAM (@_simo36)

Bijgewerkt op 31 oktober 2023

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een gebruiker kan de bevoegdheden verhogen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-38410: een anonieme onderzoeker

Kernel

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een externe gebruiker kan een denial-of-service veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2023-38603: Zweig van Kunlun Lab

libpcap

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een externe gebruiker kan het onverwacht beëindigen van de app of het uitvoeren van willekeurige code veroorzaken

Beschrijving: dit probleem is verholpen door verbeterde controles.

CVE-2023-40400: Sei K.

Toegevoegd op 31 oktober 2023

libxpc

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan toegang krijgen tot rootbevoegdheden

Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.

CVE-2023-38565: Zhipeng Huo (@R3dF09) van het Tencent Security Xuanwu Lab (xlab.tencent.com)

libxpc

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan een denial-of-service veroorzaken

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2023-38593: Noah Roskin-Frazee

Logging

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: het probleem is verholpen door verbeterde validatie van omgevingsvariabelen.

CVE-2023-40394: Wojciech Regula van SecuRing (wojciechregula.blog)

Toegevoegd op 31 oktober 2023

NSURLSession

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan buiten zijn sandbox komen

Beschrijving: het probleem is verholpen door verbeteringen aan het bestandsbeheerprotocol.

CVE-2023-32437: Thijs Alkemade van Computest Sector 7

Weather

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een app kan mogelijk de huidige locatie van een gebruiker bepalen

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2023-38605: Adam M.

Toegevoegd op 31 oktober 2023

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een externe aanvaller kan het uitvoeren van willekeurige JavaScript-code veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 257824
CVE-2023-40397: Johan Carlsson (joaxcar)

Toegevoegd op 31 oktober 2023

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een website kan vertrouwelijke gebruikersinformatie volgen

Beschrijving: een logicaprobleem is verholpen door verbeterd statusbeheer.

WebKit Bugzilla: 257822
CVE-2023-38599: Hritvik Taneja, Jason Kim, Jie Jeff Xu, Stephan van Schaik, Daniel Genkin en Yuval Yarom

Toegevoegd op 27 juli 2023

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van een document kan leiden tot een cross-site scripting-aanval

Beschrijving: dit probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 257299
CVE-2023-32445: Johan Carlsson (joaxcar)

Toegevoegd op 27 juli 2023

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

WebKit Bugzilla: 257331
CVE-2023-38592: Narendra Bhati (twitter.com/imnarendrabhati) van Suma Soft Pvt. Ltd, Pune - India, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina en Lorenzo Veronese van TU Wien

Toegevoegd op 27 juli 2023

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: een website kan het ‘Same Origin’-beleid omzeilen

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 256549
CVE-2023-38572: Narendra Bhati (twitter.com/imnarendrabhati) van Suma Soft Pvt. Ltd, Pune - India

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 256865
CVE-2023-38594: Yuhao Hu

WebKit Bugzilla: 256573
CVE-2023-38595: een anonieme onderzoeker, Jiming Wang en Jikai Ren

WebKit Bugzilla: 257387
CVE-2023-38600: anoniem in samenwerking met het Zero Day Initiative van Trend Micro

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 258058
CVE-2023-38611: Francisco Alonso (@revskills)

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem.

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 259231
CVE-2023-37450: een anonieme onderzoeker

Dit probleem is voor het eerst verholpen in de snelle beveiligingsmaatregelen iOS 16.5.1 (c) en iPadOS 16.5.1 (c).

WebKit

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

WebKit Bugzilla: 257684
CVE-2023-42866: Francisco Alonso (@revskills) en Junsung Lee

Toegevoegd op 21 december 2023

WebKit Process Model

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot het uitvoeren van willekeurige code

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 258100
CVE-2023-38597: 이준성(Junsung Lee) van Cross Republic

WebKit Web Inspector

Beschikbaar voor: iPhone 8 en nieuwer, iPad Pro (alle modellen), iPad Air (3e generatie) en nieuwer, iPad (5e generatie) en nieuwer, en iPad mini (5e generatie) en nieuwer

Impact: het verwerken van webmateriaal kan leiden tot openbaarmaking van vertrouwelijke informatie

Beschrijving: het probleem is verholpen door verbeterde controles.

WebKit Bugzilla: 256932
CVE-2023-38133: YeongHyeon Choi (@hyeon101010)

Mail

Met dank aan Parvez Anwar voor de hulp.

Screenshots

Met dank aan Dametto Luca, Casati Jacopo, Eric Williams (@eric5310pub) en Yannik Bloscheck (yannikbloscheck.com) voor de hulp.

Toegevoegd op 31 oktober 2023

WebKit

Met dank aan Narendra Bhati (@imnarendrabhati) van Suma Soft Pvt. Ltd. India voor de hulp.

Toegevoegd op 31 oktober 2023

WebKit

Met dank aan Narendra Bhati (twitter.com/imnarendrabhati) van Suma Soft Pvt. Ltd, Pune - India voor de hulp.

Toegevoegd op 27 juli 2023

WebRTC

Met dank aan een anonieme onderzoeker voor de hulp.