Zawartość związana z zabezpieczeniami w przeglądarce Safari 11.1
Ten dokument zawiera informacje o zawartości związanej z zabezpieczeniami w przeglądarce Safari 11.1.
Uaktualnienia zabezpieczeń Apple
W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.
Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.
Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.
Safari 11.1
Safari
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.
Opis: usunięto błąd dotyczący niespójnego interfejsu użytkownika przez poprawienie mechanizmu zarządzania stanem.
CVE-2018-4102: Kai Zhao z 3H security team
CVE-2018-4116: @littlelailo, xisigr z Xuanwu Lab firmy Tencent (tencent.com)
Pobieranie w przeglądarce Safari
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: w trybie przeglądania prywatnego niektóre pobrane pliki nie były usuwane z listy pobierania.
Opis: w procedurze obsługi pobranych plików w trybie przeglądania prywatnego w przeglądarce Safari występował błąd związany z ujawnieniem informacji. Ten błąd naprawiono przez dodatkowe sprawdzanie poprawności.
CVE-2018-4186: anonimowy badacz
Automatyczne wstawianie podczas logowania w przeglądarce Safari
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: złośliwie spreparowana witryna internetowa może skrycie wyprowadzać automatycznie wypełnione dane w przeglądarce Safari bez wyraźnej interakcji użytkownika.
Opis: funkcja automatycznego wypełniania w przeglądarce Safari nie wymagała do zadziałania wyraźnej interakcji użytkownika. Ten błąd naprawiono przez poprawienie heurystyki automatycznego wypełniania.
CVE-2018-4137
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4101: Yuan Deng z Ant-financial Light-Year Security Lab
CVE-2018-4114: wykryte przez OSS-Fuzz
CVE-2018-4118: Jun Kokatsu (@shhnjk)
CVE-2018-4119: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4120: Hanming Zhang (@4shitak4) z Qihoo 360 Vulcan Team
CVE-2018-4121: natashenka z Google Project Zero
CVE-2018-4122: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4125: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4127: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4128: Zach Markley
CVE-2018-4129: likemeng z Baidu Security Lab w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4130: Omair w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4161: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4162: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4163: WanderingGlitch w ramach programu Zero Day Initiative firmy Trend Micro
CVE-2018-4165: Hanming Zhang (@4shitak4) z Qihoo 360 Vulcan Team
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: odwiedzenie złośliwie spreparowanej witryny może spowodować atak XSS (cross-site scripting).
Opis: w przeglądarce Safari występował błąd umożliwiający przeprowadzenie ataku XSS (cross-site scripting). Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności adresów URL.
CVE-2018-4133: Anton Lopanitsyn z Wallarm, Linus Särud z Detectify (detectify.com), Yuji Tounai z NTT Communications Corporation
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja z typami indeksowania powoduje błąd ASSERT.
Opis: w sposobie obsługi funkcji w kodzie javascript występował błąd indeksowania macierzy. Ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4113: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do ataku typu „odmowa usługi”.
Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4146: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: złośliwie spreparowana witryna internetowa może przesyłać dane między różnymi źródłami.
Opis: w interfejsie API pobierania (fetch) występował błąd obsługi różnych źródeł. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.
CVE-2018-4117: anonimowy badacz, anonimowy badacz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4207: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4208: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4209: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja z typami indeksowania powodowała błąd.
Opis: w sposobie obsługi funkcji w kodzie javascript występował błąd indeksowania macierzy. Ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4210: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4212: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.
Opis: ten błąd naprawiono przez poprawienie sprawdzania.
CVE-2018-4213: wykryte przez OSS-Fuzz
WebKit
Dostępne dla: systemów OS X El Capitan 10.11.6, macOS Sierra 10.12.6 i macOS High Sierra 10.13.4
Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania kodu.
Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.
CVE-2018-4145: wykryte przez OSS-Fuzz
Dodatkowe podziękowania
WebKit
Specjalne podziękowania za pomoc dla: Johnny Nipper z Tinder Security Team.
Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.