Zawartość związana z zabezpieczeniami w systemie iOS 11.1

Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w systemie iOS 11.1.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń można znaleźć na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

iOS 11.1

Wydano 31 października 2017 r.

CoreText

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: przetworzenie złośliwie spreparowanego pliku tekstowego może spowodować nieoczekiwane zakończenie działania aplikacji

Opis: naprawiono błąd podatności na atak typu „odmowa usługi” przez poprawienie procedury obsługi pamięci.

CVE-2017-13849: Ro z SavSec

Jądro

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2017-13799: Lufeng Li z grupy Qihoo 360 Vulcan Team

Wpis uaktualniono 10 listopada 2017 r.

Jądro

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: złośliwa aplikacja może być w stanie uzyskać informację o obecności i działaniu innych aplikacji na urządzeniu.

Opis: aplikacja była w stanie uzyskać dostęp do informacji o procesie, które system operacyjny utrzymywał w nieograniczonym stanie. Ten błąd naprawiono przez ograniczenie przepustowości.

CVE-2017-13852: Xiaokuan Zhang i Yinqian Zhang z Uniwersytetu Stanowego Ohio, Xueqiang Wang i XiaoFeng Wang z Indiana University Bloomington i Xiaolong Bai z Tsinghua University

Wpis dodano 10 listopada 2017 r.

Wiadomości

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: osoba mająca fizyczny dostęp do urządzenia z systemem iOS może uzyskać dostęp do zdjęć z poziomu ekranu blokady

Opis: błąd ekranu blokady umożliwiał dostęp do zdjęć za pośrednictwem opcji Odpowiedz wiadomością na zablokowanym urządzeniu. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-13844: Miguel Alvarado z iDeviceHelp

Siri

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: osoba z fizycznym dostępem do urządzenia z systemem iOS może za pomocą funkcji Siri odczytać powiadomienia o zawartości, dla których wyłączono wyświetlanie na ekranie blokady

Opis: występował błąd związany z uprawnieniami Siri. Naprawiono przez poprawienie mechanizmu sprawdzania uprawnień.

CVE-2017-13805: Yiğit Can YILMAZ (@yilmazcanyigit)

Wpis uaktualniono 10 listopada 2017 r.

Przesyłanie strumieniowe pliku ZIP

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: złośliwy plik ZIP mógł modyfikować obszary systemu plików objęte ograniczeniami

Opis: naprawiono błąd w procedurze obsługi wyrażeń przez poprawienie procedury sprawdzania poprawności.

CVE-2017-13804: @qwertyoruiopz z KJC Research Intl. S.R.L.

UIKit

Dostępne dla: telefonu iPhone 5s lub nowszego, iPada Air lub nowszego oraz iPoda touch 6. generacji

Zagrożenie: znaki w bezpiecznym polu tekstowym mogą zostać ujawnione

Opis: znaki w bezpiecznym polu tekstowym były ujawniane podczas zdarzeń zmiany fokusu. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-7113: anonimowy badacz, Duraiamuthan Harikrishnan z Tech Mahindra, Ricardo Sampayo z Bemo Ltd

WebKit

CVE-2017-13783: Ivan Fratric z Google Project Zero

CVE-2017-13784: Ivan Fratric z Google Project Zero

CVE-2017-13785: Ivan Fratric z Google Project Zero

CVE-2017-13788: xisigr z Xuanwu Lab firmy Tencent (tencent.com)

CVE-2017-13791: Ivan Fratric z Google Project Zero

CVE-2017-13792: Ivan Fratric z Google Project Zero

CVE-2017-13793: Hanul Choi w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2017-13794: Ivan Fratric z Google Project Zero

CVE-2017-13795: Ivan Fratric z Google Project Zero

CVE-2017-13796: Ivan Fratric z Google Project Zero

CVE-2017-13797: Ivan Fratric z Google Project Zero

CVE-2017-13798: Ivan Fratric z Google Project Zero

CVE-2017-13802: Ivan Fratric z Google Project Zero

CVE-2017-13803: chenqin (陈钦) z Ant-financial Light-Year Security

Wpis uaktualniono 2 listopada 2017 r.

Wi-Fi

Dostępne dla: telefonów iPhone 8, iPhone 8 Plus i iPhone X

Zagrożenie nie dotyczy: telefonów iPhone 7, iPhone 7 Plus, iPhone 6s, iPhone 6s Plus, iPhone 6, iPhone 6 Plus, iPhone SE, iPhone 5s, iPada Air i nowszego oraz iPoda touch 6. generacji

Zagrożenie: atakujący będący w zasięgu sieci Wi-Fi może wymusić ponowne użycie liczby jednorazowego użytku na klientach WPA Unicast/PTK (Key Reinstallation Attacks — KRACK)

Opis: w procedurze obsługi przejść pomiędzy stanami występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-13077: Mathy Vanhoef z grupy imec-DistriNet w KU Leuven

CVE-2017-13078: Mathy Vanhoef z grupy imec-DistriNet w KU Leuven

Wpis uaktualniono 3 listopada 2017 r.

Wi-Fi

Dostępne dla: telefonu iPhone 7 lub nowszego, iPada Pro (9,7-calowy, początek 2016 r.)

Zagrożenie: atakujący będący w zasięgu sieci Wi-Fi może wymusić ponowne użycie liczby jednorazowego użytku na klientach WPA Multicast/GTK (Key Reinstallation Attacks — KRACK)

Opis: w procedurze obsługi przejść pomiędzy stanami występował błąd logiczny. Ten błąd naprawiono przez poprawienie procedur zarządzania stanem.

CVE-2017-13080: Mathy Vanhoef z grupy imec-DistriNet w KU Leuven

Wpis uaktualniono 3 listopada 2017 r.

Informacje o produktach niewytworzonych przez Apple lub o niezależnych witrynach internetowych, których Apple nie kontroluje ani nie testuje, są udostępniane bez żadnej rekomendacji ani poparcia. Apple nie ponosi żadnej odpowiedzialności za wybór, działanie lub wykorzystanie takich witryn lub produktów innych firm. Apple nie składa żadnych oświadczeń dotyczących dokładności lub wiarygodności witryn internetowych innych firm. Ryzyko jest wpisane w korzystanie z Internetu. Skontaktuj się z dostawcą, aby uzyskać więcej informacji. Pozostałe nazwy firm i produktów mogą być znakami towarowymi odpowiednich podmiotów.

Data publikacji: