Om sikkerhetsinnholdet i iOS 17.2 og iPadOS 17.2

Dette dokumentet beskriver sikkerhetsinnholdet i iOS 17.2 og iPadOS 17.2.

Om sikkerhetsoppdateringer fra Apple

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelig. Nylige utgivelser er oppført på siden for Apples sikkerhetsutgivelser.

Apple-sikkerhetsdokumenter refererer til sårbarheter etter CVE-ID når det er mulig.

For mer informasjon om sikkerhet kan du gå til siden for Apple-produktsikkerhet.

iOS 17.2 og iPadOS 17.2

Utgitt 11. desember 2023

Accessibility

Tilgjengelig for: iPhone XS og nyere, 12,9-tommers iPad Pro (2. generasjon og nyere), 10,5-tommers iPad Pro, 11-tommers iPad Pro (1. generasjon og nyere), iPad Air (3. generasjon og nyere), iPad (6. generasjon og nyere) og iPad mini (5. generasjon og nyere)

Virkning: En app kan få tilgang til sensitive brukerdata

Beskrivelse: Et personvernproblem ble løst gjennom forbedret sensurering av private data i loggoppføringer.

CVE-2023-42937: Noah Roskin-Frazee og Prof. J. (ZeroClicks.ai Lab)

Oppføring lagt til 22. januar 2024

Accounts

Virkning: En app kan få tilgang til sensitive brukerdata

Beskrivelse: Et personvernproblem ble løst gjennom forbedret sensurering av private data i loggoppføringer.

CVE-2023-42919: Kirin (@Pwnrin)

Assets

Virkning: En app kan endre beskyttede deler av filsystemet

Beskrivelse: Et problem ble løst gjennom forbedret behandling av midlertidige filer.

CVE-2023-42896: Mickey Jin (@patch1t)

Oppføring lagt til 22. mars 2024

AVEVideoEncoder

Virkning: En app kan avsløre kjerneminne

Beskrivelse: Problemet ble løst gjennom bedre sensurering av sensitive opplysninger.

CVE-2023-42884: en anonym forsker

Bluetooth

Virkning: En angriper i en privilegert nettverksplassering kan injisere tastetrykk ved å imitere et tastatur

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2023-45866: Marc Newlin fra SkySafe

Oppføring lagt til 11. desember 2023

Bluetooth

Virkning: En angriper i en privilegert nettverksposisjon kan være i stand til å utføre et tjenestenektangrep ved hjelp av utformede Bluetooth-pakker

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2023-42941: Christopher Reynolds

Oppføring lagt til 10. januar 2024

CallKit

Virkning: En ekstern angriper kan forårsake tjenestenekt

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2023-42962: Aymane Chabat

Oppføring lagt til 22. mars 2024

Find My

Virkning: En app kan få tilgang til sensitiv stedsinformasjon

Beskrivelse: Problemet ble løst gjennom bedre sensurering av sensitive opplysninger.

CVE-2023-42922: Wojciech Regula fra SecuRing (wojciechregula.blog)

ImageIO

Virkning: Behandling av et bilde kan føre til kjøring av vilkårlig kode

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

CVE-2023-42898: Zhenjiang Zhao fra Pangu Team, Qianxin og Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM og Junsung Lee

Oppføring oppdatert 22. mars 2024

ImageIO

Virkning: Behandling av et skadelig bilde kan føre til at prosessminne avsløres

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2023-42888: Michael DePlante (@izobashi) fra Trend Micro Zero Day Initiative

Oppføring lagt til 22. januar 2024

IOUSBDeviceFamily

Virkning: En app kan utilsiktet kjøre kode med kjernerettigheter

Beskrivelse: En kappløpssituasjon ble løst med forbedret tilstandshåndtering.

CVE-2023-42974: Pan ZhenPeng (@Peterpan0927) fra STAR Labs SG Pte. Ltd.

Oppføring oppdatert 22. mars 2024

Kernel

Virkning: En app kan bryte ut av sandkassen

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) fra Synacktiv (@Synacktiv)

Libsystem

Virkning: Et program kan kanskje få tilgang til beskyttede brukerdata

Beskrivelse: Et tillatelsesproblem ble løst ved å fjerne sårbar kode og legge til ytterligere kontroller.

CVE-2023-42893

Oppføring lagt til 22. mars 2024

Safari Private Browsing

Virkning: Privat nettlesing-faner kan åpnes uten autentisering

Beskrivelse: Dette problemet ble løst med forbedret tilstandshåndtering.

CVE-2023-42923: ARJUN S D

Sandbox

Virkning: En app kan kanskje få tilgang til sensitiv brukerinformasjon

Beskrivelse: Problemet ble løst gjennom bedre sensurering av sensitive opplysninger.

CVE-2023-42936

Oppføring lagt til 22. mars 2024

Siri

Virkning: En angriper med fysisk tilgang kan bruke Siri til å få tilgang til sensitive brukeropplysninger

Beskrivelse: Problemet ble løst gjennom forbedrede kontroller.

CVE-2023-42897: Andrew Goldberg fra The McCombs School of Business, The University of Texas i Austin (linkedin.com/andrew-goldberg-/)

TCC

Virkning: En app kan bryte ut av sandkassen

Beskrivelse: Et problem med banehåndtering ble løst gjennom forbedret validering.

CVE-2023-42947: Zhongquan Li (@Guluisacat) fra Dawn Security Lab hos JingDong

Oppføring lagt til 22. mars 2024

WebKit

Virkning: Behandling av nettinnhold kan føre til kjøring av vilkårlig kode

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

WebKit Bugzilla: 259830
CVE-2023-42890: Pwn2car

WebKit

Virkning: Behandling av et bilde kan føre til tjenestenekt

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

WebKit Bugzilla: 263349
CVE-2023-42883: Zoom Offensive Security Team

WebKit

Virkning: Behandling av skadelig nettinnhold kan føre til kjøring av vilkårlig kode

Beskrivelse: Et problem med fortsatt bruk etter frigjøring ble løst med forbedret minnestyring.

WebKit Bugzilla: 263682
CVE-2023-42950: Nan Wang (@eternalsakura13) fra 360 Vulnerability Research Institute og rushikesh nandedkar

Oppføring lagt til 22. mars 2024

WebKit

Virkning: Behandling av nettinnhold kan føre til tjenestenekt

Beskrivelse: Problemet ble løst gjennom forbedret håndtering av minnet.

WebKit Bugzilla: 263989
CVE-2023-42956: SungKwon Lee (Demon.Team)

Oppføring lagt til 22. mars 2024

Ytterligere anerkjennelser

Safari Private Browsing

Vi vil gjerne takke Joshua Lund fra Signal Technology Foundation og Iakovos Gurulian for hjelpen.

Oppføring oppdatert 22. mars 2024

Setup Assistant

Vi vil gjerne takke Aaron Gregory fra Acoustic.com og Eastern Illinois University – Graduate School of Technology for hjelpen.

WebKit

Vi vil gjerne takke 椰椰 for hjelpen.

WebSheet

Vi vil gjerne takke Paolo Ruggero fra e-phors S.p.A. (A FINCANTIERI S.p.A. Company) for hjelpen.

Oppføring lagt til 22. mars 2024

Wi-Fi

Vi vil gjerne takke Noah Roskin-Frazee og Prof. J. (ZeroClicks.ai Lab) for hjelpen.

Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.

Publiseringsdato: 02. april 2024