Informacje o zawartości związanej z zabezpieczeniami w przeglądarce Safari 10.1.1

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w przeglądarce Safari 10.1.1.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń można znaleźć na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Safari 10.1.1

JavaScriptCore

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej treści z Internetu mogło spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2017-7005: lokihardt z Google Project Zero

Safari

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: odwiedzenie złośliwie spreparowanej strony internetowej może doprowadzić do ataku typu „odmowa usługi” aplikacji.

Opis: naprawiono błąd menu historii przeglądarki Safari przez poprawienie procedury obsługi pamięci.

CVE-2017-2495: Tubasa Iinuma (@llamakko_cafe) z Gehirn Inc.

Safari

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: usunięto błąd dotyczący niespójnego interfejsu użytkownika przez poprawienie mechanizmu zarządzania stanem.

CVE-2017-2500: Zhiyang Zeng i Yuyang Zhou z działu Tencent Security Platform Department

CVE-2017-2511: Zhiyang Zeng z działu Tencent Security Platform Department

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2017-2496: Apple

CVE-2017-2505: lokihardt z Google Project Zero

CVE-2017-2506: Zheng Huang z Baidu Security Lab w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2514: lokihardt z Google Project Zero

CVE-2017-2515: lokihardt z Google Project Zero

CVE-2017-2521: lokihardt z Google Project Zero

CVE-2017-2525: Kai Kang (4B5F5F4B) z Xuanwu Lab firmy Tencent (tencent.com) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2526: Kai Kang (4B5F5F4B) z Xuanwu Lab firmy Tencent (tencent.com) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2530: Wei Yuan z Baidu Security Lab, Zheng Huang z Baidu Security Lab w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2531: lokihardt z Google Project Zero

CVE-2017-2538: Richard Zhu (fluorescence) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2539: Richard Zhu (fluorescence) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2544: 360 Security (@mj0011sec) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-2547: lokihardt z Google Project Zero, Team Sniper (Keen Lab i PC Mgr) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-6980: lokihardt z Google Project Zero

CVE-2017-6984: lokihardt z Google Project Zero

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować uniwersalny atak XSS (cross site scripting).

Opis: w procedurze obsługi poleceń edytora WebKit występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-2504: lokihardt z Google Project Zero

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować uniwersalny atak XSS (cross site scripting).

Opis: w procedurze obsługi węzłów „container” WebKit występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-2508: lokihardt z Google Project Zero

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować uniwersalny atak XSS (cross-site- scripting).

Opis: w procedurze obsługi wydarzeń pageshow występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-2510: lokihardt z Google Project Zero

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować uniwersalny atak XSS (cross-site- scripting).

Opis: w procedurze obsługi buforowanych klatek WebKit występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-2528: lokihardt z Google Project Zero

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2017-2536: Samuel Groß i Niklas Baumstark w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może spowodować uniwersalny atak XSS (cross site scripting).

Opis: w procedurze wczytywania ramek występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-2549: lokihardt z Google Project Zero

Inspektor www WebKit

Dostępne dla: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, macOS Sierra 10.12.5

Zagrożenie: aplikacja może wykonać niepodpisany kod.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2017-2499: George Dan (@theninjaprawn)

Dodatkowe podziękowania

Safari

Dziękujemy za pomoc Flyin9_L (ZhenHui Lee) (@ACITSEC).