Zawartość związana z zabezpieczeniami w przeglądarce Safari 12

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w przeglądarce Safari 12.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple. Komunikację z Apple można szyfrować za pomocą klucza PGP serwisu Bezpieczeństwo produktów firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Safari 12

Safari

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: złośliwie spreparowana witryna internetowa może eksfiltrować automatycznie wypełnione dane w przeglądarce Safari.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2018-4307: Rafay Baloch z Pakistan Telecommunications Authority

Safari

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: użytkownik może nie być w stanie usunąć elementów historii przeglądania.

Opis: wyczyszczenie elementu historii może nie wyczyścić odwiedzin z łańcuchami przekierowań. Ten błąd naprawiono przez poprawienie mechanizmu usuwania danych.

CVE-2018-4329: Hugo S. Diaz (coldpointblue)

Safari

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: odwiedzenie złośliwej witryny przez kliknięcie łącza może prowadzić do fałszowania interfejsu użytkownika.

Opis: usunięto błąd dotyczący niespójnego interfejsu użytkownika przez poprawienie mechanizmu zarządzania stanem.

CVE-2018-4195: xisigr z Xuanwu Lab firmy Tencent (www.tencent.com)

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: złośliwie spreparowana witryna internetowa może powodować nieoczekiwane zachowanie związane z obsługą różnych źródeł.

Opis: w elementach iframe występował błąd obsługi różnych źródeł. Ten błąd rozwiązano przez poprawienie mechanizmu śledzenia źródeł informacji dotyczących zabezpieczeń.

CVE-2018-4319: John Pettitt z Google

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie sprawdzania poprawności.

CVE-2018-4191: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: złośliwie spreparowana witryna internetowa może być w stanie wykonywać skrypty w kontekście innej witryny.

Opis: w przeglądarce Safari występował błąd umożliwiający przeprowadzenie ataku XSS (cross-site scripting). Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności adresów URL.

CVE-2018-4309: anonimowy badacz pracujący w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4299: Samuel Groβ (saelo) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4323: Ivan Fratric z Google Project Zero

CVE-2018-4328: Ivan Fratric z Google Project Zero

CVE-2018-4358: @phoenhex team (@bkth_ @5aelo @_niklasb) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2018-4359: Samuel Groß (@5aelo)

CVE-2018-4360: William Bowling (@wcbowling)

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: element SecurityErrors z różnych źródeł zawiera źródło ramki, do której uzyskano dostęp.

Opis: ten problem rozwiązano przez usunięcie informacji o źródle.

CVE-2018-4311: Erling Alf Ellingsen (@steike)

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: złośliwie spreparowana witryna internetowa może eksfiltrować dane obrazów z zewnętrznego źródła.

Opis: w przeglądarce Safari występował błąd umożliwiający przeprowadzenie ataku XSS (cross-site scripting). Ten problem rozwiązano przez poprawienie procedury sprawdzania poprawności adresów URL.

CVE-2018-4345: Jun Kokatsu (@shhnjk)

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: nieoczekiwana interakcja powoduje błąd ASSERT.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

CVE-2018-4361: wykryte przez OSS-Fuzz

CVE-2018-4474: wykryte przez OSS-Fuzz

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2018-4312: Ivan Fratric z Google Project Zero

CVE-2018-4315: Ivan Fratric z Google Project Zero

CVE-2018-4197: Ivan Fratric z Google Project Zero

CVE-2018-4314: Ivan Fratric z Google Project Zero

CVE-2018-4318: Ivan Fratric z Google Project Zero

CVE-2018-4306: Ivan Fratric z Google Project Zero

CVE-2018-4317: Ivan Fratric z Google Project Zero

WebKit

Dostępne dla: systemów macOS Sierra 10.12.6, macOS High Sierra 10.13.6, macOS Mojave 10.14

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury zarządzania stanem.

CVE-2018-4316: crixer, Hanming Zhang (@4shitak4) z Qihoo 360 Vulcan Team

Dodatkowe podziękowania

WebKit

Dziękujemy za udzieloną pomoc: Cary Hartline, Hanming Zhang z 360 VulcanTeam, Tencent Keen Security Lab w ramach programu Zero Day Initiative firmy Trend Micro i Zach Malone z CA Technologies.