Om sikkerhetsinnholdet i iOS 13
I dette dokumentet beskrives sikkerhetsinnholdet i iOS 13.
Om sikkerhetsoppdateringer fra Apple
Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Sikkerhetsoppdateringer fra Apple.
Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.
For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.
iOS 13
Bluetooth
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Forhåndsvisninger av varslinger kan vises på Bluetooth-tilbehør selv når forhåndsvisninger er deaktivert
Beskrivelse: Det fantes et logisk problem med forhåndsvisninger av varslinger. Problemet ble løst gjennom forbedret validering.
CVE-2019-8711: Arjang fra MARK ANTHONY GROUP INC., Cemil Ozkebapci (@cemilozkebapci) fra Garanti BBVA, Oguzhan Meral fra Deloitte Consulting og Ömer Bozdoğan-Ramazan Atıl Anadolu Lisesi Adana/TÜRKİYE
Samtalelogg
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Slettede samtaler forble synlige på enheten
Beskrivelse: Problemet ble løst gjennom forbedret datasletting.
CVE-2019-8732: Mohamad El-Zein Berlin
CFNetwork
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av skadelig nettinnhold kan føre til et skriptangrep mellom nettsteder
Beskrivelse: Problemet ble løst gjennom bedre kontroller.
CVE-2019-8753: Łukasz Pilorz fra Standard Chartered GBS Poland
CoreAudio
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av en skadelig film kan føre til avdekking av prosessminnet
Beskrivelse: Et problem med skadet minne ble løst gjennom forbedret validering.
CVE-2019-8705: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
CoreAudio
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Avspilling av en skadelig lydfil kan føre til utføring av vilkårlig kode
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret validering av inndata.
CVE-2019-8592: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
CoreCrypto
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av store mengder inndata kan føre til tjenestenekt
Beskrivelse: Et problem med tjenestenekt ble løst gjennom forbedret validering av inndata.
CVE-2019-8741: Nicky Mouha fra NIST
CoreMedia
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode
Beskrivelse: Et problem med sikkerhetsbrud i minnet ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8825: Funnet av GWP-ASan i Google Chrome
Face ID
Tilgjengelig for: iPhone X og nyere
Virkning: En 3D-modell som er laget for å se ut som brukeren, kan autentisere via Face ID
Beskrivelse: Dette problemet ble løst ved å forbedre maskinlæringsmodellene for Face ID.
CVE-2019-8760: Wash Wu (吴潍浠 @wish_wu) fra Ant-financial Light-Year Security Lab
Foundation
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En ekstern angriper kan være i stand til å forårsake uventet avslutning av et program eller kjøring av vilkårlig kode
Beskrivelse: Et problem med lesing utenfor området ble løst gjennom forbedret validering av inndata.
CVE-2019-8641: Samuel Groß og natashenka fra Google Project Zero
CVE-2019-8746: natashenka og Samuel Groß fra Google Project Zero
IOUSBDeviceFamily
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8718: Joshua Hill og Sem Voigtländer
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan være i stand til å få utvidede rettigheter
Beskrivelse: Problemet ble løst gjennom forbedrede rettigheter.
CVE-2019-8703: En anonym forsker
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En lokal app kan være i stand til å lese en vedvarende kontoidentifikator
Beskrivelse: Et valideringsproblem ble løst gjennom forbedret logikk.
CVE-2019-8809: Apple
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrud i minnet ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8709: derrek (@derrekr6) derrek (@derrekr6)
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8712: Mohamed Ghannam (@_simo36)
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et skadelig program kan være i stand til å fastslå layouten til kjerneminnet
Beskrivelse: Det var et problem med ødelagt minne i håndteringen av IPv6-pakker. Problemet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8744: Zhuo Liang fra Qihoo 360 Vulcan Team
Kjerne
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan kjøre vilkårlig kode med kjernerettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8717: Jann Horn fra Google Project Zero
Tastaturer
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En lokal bruker kan lekke sensitiv brukerinformasjon
Beskrivelse: Et problem med autentisering ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8704: 王 邦 宇 (wAnyBug.Com) fra SAINTSEC
libxml2
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Flere problemer i libxml2
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret validering av inndata.
CVE-2019-8749: funnet av OSS-Fuzz
CVE-2019-8756: funnet av OSS-Fuzz
Meldinger
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En person med fysisk tilgang til en iOS-enhet kan få tilgang til kontakter fra låst skjerm
Beskrivelse: Problemet ble løst ved å begrense valgene som vises på en låst enhet.
CVE-2019-8742: videosdebarraquito
Merknader
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En lokal bruker kan være i stand til å se en brukers låste notater
Beskrivelse: Innholdet i låste notater var noen ganger synlig i søkeresultater. Problemet ble løst gjennom forbedret dataopprydding.
CVE-2019-8730: Jamie Blumberg (@jamie_blumberg) fra Virginia Polytechnic Institute and State University
PluginKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En lokal bruker kan sjekke om vilkårlige filer finnes
Beskrivelse: Et logisk problem ble løst gjennom forbedrede restriksjoner.
CVE-2019-8708: en anonym forsker
PluginKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Et program kan utføre vilkårlig kode med systemrettigheter
Beskrivelse: Et problem med sikkerhetsbrudd i minnet ble løst gjennom forbedret minnehåndtering.
CVE-2019-8715: en anonym forsker
Hurtigvisning
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av en skadelig fil kan avsløre brukerinformasjon
Beskrivelse: Det var et tillatelsesproblem der en kjøringstillatelse ble gitt ved en feil. Problemet ble løst gjennom forbedret validering av tillatelser.
CVE-2019-8731: Saif Hamed Hamdan Al Hinai fra Oman National CERT og Yiğit Can YILMAZ (@yilmazcanyigit)
Safari
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Besøk på et skadelig nettsted kan føre til falske adresselinjer
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8727: Divyanshu Shukla (@justm0rph3u5)
UIFoundation
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av en skadelig tekstfil kan føre til at vilkårlig kode utføres
Beskrivelse: En bufferoverflyt ble løst gjennom forbedret grenseverdikontroll.
CVE-2019-8745: riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative
WebKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Skadelig nettinnhold kan være i strid med sandkasseretningslinjene for iFrame
Beskrivelse: Problemet ble løst gjennom forbedret håndheving av sandkasse for iFrame.
CVE-2019-8771: Eliya Stein fra Confiant
WebKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8625: Sergei Glazunov fra Google Project Zero
CVE-2019-8719: Sergei Glazunov fra Google Project Zero
CVE-2019-8764: Sergei Glazunov fra Google Project Zero
WebKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av skadelig nettinnhold kan føre til utføring av vilkårlig kode
Beskrivelse: Flere problemer med skadet minne ble løst gjennom forbedret minnehåndtering.
CVE-2019-8707: en anonym forsker i samarbeid med Trend Micros Zero Day Initiative og cc i samarbeid med Trend Micros Zero Day Initiative
CVE-2019-8726: Jihui Lu fra Tencent KeenLab
CVE-2019-8728: Junho Jang fra LINE Security Team og Hanul Choi fra ABLY Corporation
CVE-2019-8733: Sergei Glazunov fra Google Project Zero
CVE-2019-8734: funnet av OSS-Fuzz
CVE-2019-8735: G. Geshev i samarbeid med Trend Micros Zero Day Initiative
WebKit
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En bruker kan kanskje ikke slette oppføringer i nettleserhistorikken
Beskrivelse: «Tøm logg og nettstedsdata» tømte ikke hele loggen. Problemet ble løst gjennom forbedret datasletting.
CVE-2019-8768: Hugo S. Diaz (coldpointblue)
Laster inn WebKit-sider
Tilgjengelig for: iPhone 6s eller nyere
Virkning: Behandling av skadelig nettinnhold kan føre til universell skripting mellom nettsteder
Beskrivelse: Et logisk problem ble løst gjennom forbedret tilstandshåndtering.
CVE-2019-8674: Sergei Glazunov fra Google Project Zero
Wi-Fi
Tilgjengelig for: iPhone 6s eller nyere
Virkning: En enhet kan bli sporet passivt ved bruk av MAC-adressen for Wi-Fi
Beskrivelse: Et problem med personvern ble løst gjennom fjerning av MAC-kringkastingsadressen.
CVE-2019-8854: Ta-Lun Yen fra UCCU Hacker og FuriousMacTeam fra United States Naval Academy og Mitre Cooperation
Ytterligere anerkjennelser
AppleRTC
Vi vil gjerne takke Vitaly Cheptsov for hjelpen.
Lyd
Vi vil gjerne takke riusksk fra VulWar Corp i samarbeid med Trend Micros Zero Day Initiative for hjelpen.
Bluetooth
Vi vil gjerne takke Jan Ruge fra TU Darmstadt, Secure Mobile Networking Lab, Jiska Classen fra TU Darmstadt, Secure Mobile Networking Lab, Francesco Gringoli fra University of Brescia og Dennis Heinze fra TU Darmstadt, Secure Mobile Networking Lab for hjelpen.
boringssl
Vi vil gjerne takke Thijs Alkemade (@xnyhps) fra Computest for hjelpen.
Kontrollsenter
Vi vil gjerne takke Brandon Sellers for hjelpen.
HomeKit
Vi vil gjerne takke Tian Zhang for hjelpen.
Kjerne
Vi vil gjerne takke Brandon Azad fra Google Project Zero for hjelpen.
Tastatur
Vi vil gjerne takke Sara Haradhvala fra Harlen Web Consulting og en anonym forsker for hjelpen.
E-post
Vi vil gjerne takke Kenneth Hyndycz for hjelpen.
mDNSResponder
Vi vil gjerne takke Gregor Lang fra e.solutions GmbH for hjelpen.
Profiler
Vi vil gjerne takke Erik Johnson fra Vernon Hills High School, James Seeley (@Code4iOS) fra Shriver Job Corps og James Seeley (@Code4iOS) fra Shriver Job Corps for hjelpen.
SafariViewController
Vi vil gjerne takke Yiğit Can YILMAZ (@yilmazcanyigit) for hjelpen.
VPN
Vi vil gjerne takke Royce Gawron fra Second Son Consulting, Inc. for hjelpen.
WebKit
Vi vil gjerne takke MinJeong Kim fra Information Security Lab, Chungnam National University, JaeCheol Ryou fra Information Security Lab, Chungnam National University i Sør-Korea, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao fra DBAPPSecurity Zion Lab og en anonym forsker i samarbeid med Trend Micros Zero Day Initiative for hjelpen.
Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.