Om sikkerhetsinnholdet i Safari 13.1.2

Dette dokumentet beskriver sikkerhetsinnholdet i Safari 13.1.2.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

Safari 13.1.2

Safari

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: Besøk på et skadelig nettsted kan føre til falske adresselinjer

Beskrivelse: Et problem med inkonsistent brukergrensesnitt ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9942: en anonym forsker, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) ved The City School, PAF Chapter, Ruilin Yang fra Tencent Security Xuanwu Lab, YoKo Kho (@YoKoAcc) fra PT Telekomunikasi Indonesia (Persero) Tbk, Zhiyang Zeng(@Wester) fra OPPO ZIWU Security Lab

Safari-nedlastinger

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ondsinnet angriper kan klare å endre rammeopprinnelsen for en nedlasting i leserfunksjonsmodusen i Safari

Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.

CVE-2020-9912: Nikhil Mittal (@c0d3G33k) fra Payatu Labs (payatu.com)

Autofyll ved Safari-pålogging

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ondsinnet angriper kan få Safari til å foreslå et passord for feil domene

Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.

CVE-2020-9903: Nikhil Mittal (@c0d3G33k) fra Payatu Labs (payatu.com)

Leserfunksjonen i Safari

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: Et problem med leserfunksjonsmodusen i Safari kan gjøre en ekstern angriper i stand til å forbigå regelen for samme opprinnelse (Same Origin)

Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.

CVE-2020-9911: Nikhil Mittal (@c0d3G33k) fra Payatu Labs (payatu.com)

WebKit

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.

CVE-2020-9894: 0011 i samarbeid med Trend Micro Zero Day Initiative

WebKit

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: Behandling av nettinnhold med ondsinnet utforming kan forhindre håndheving av regler for innholdssikkerhet

Beskrivelse: Det var et tilgangsproblem i Content Security Policy. Problemet ble løst gjennom forbedrede tilgangsrestriksjoner.

CVE-2020-9915: Ayoub AIT ELMOKHTAR fra Noon

WebKit

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder

Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9925: en anonym forsker

WebKit

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

CVE-2020-9893: 0011 i samarbeid med Trend Micro Zero Day Initiative

CVE-2020-9895: Wen Xu fra SSLab ved Georgia Tech

WebKit

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ondsinnet angriper med muligheter for vilkårlig lesing og skriving kan klare å forbigå pekergodkjenningen

Beskrivelse: Flere problemer ble løst gjennom forbedret logikk.

CVE-2020-9910: Samuel Groß fra Google Project Zero

Laster inn WebKit-sider

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En ondsinnet angriper kan klare å skjule destinasjonen til en URL

Beskrivelse: Et problem med Unicode-koding av URL-er ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit Nettinspektør

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: Kopiering av en URL fra Nettinspektør kan føre til kommandoinjisering

Beskrivelse: Det var et problem med kommandoinjisering i Nettinspektør. Dette problemet ble løst med forbedret escaping.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

Tilgjengelig for: macOS Mojave og macOS High Sierra, og inkludert i macOS Catalina

Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å forårsake skader på heapen med en spesielt utformet SCTP-strøm

Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret tilstandshåndtering.

CVE-2020-6514: natashenka fra Google Project Zero