Zawartość związana z zabezpieczeniami w systemach iOS 15.7.2 i iPadOS 15.7.2

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemach iOS 15.7.2 i iPadOS 15.7.2.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Uaktualnienia zabezpieczeń firmy Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

iOS 15.7.2 i iPadOS 15.7.2

Wydano 13 grudnia 2022 r.

AppleAVD

Dostępne dla: iPhone’a 6s (wszystkich modeli), iPhone’a 7 (wszystkich modeli), iPhone’a SE (1. generacji), iPada Pro (wszystkich modeli), iPada Air 2 i nowszych modeli, iPada 5. generacji i nowszych modeli, iPada mini 4 i nowszych modeli oraz iPoda touch (7. generacji)

Zagrożenie: analiza składni złośliwie spreparowanego pliku wideo może doprowadzić do wykonania kodu jądra.

Opis: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-46694: Andrey Labunets i Nikita Tarakanov

AVEVideoEncoder

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2022-42848: ABC Research s.r.o

File System

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2022-42861: pattern-f (@pattern_F_) z Ant Security Light-Year Lab

Graphics Driver

Zagrożenie: analiza składni złośliwie spreparowanego pliku wideo może doprowadzić do nieoczekiwanego zamknięcia systemu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2022-42846: Willy R. Vasquez z The University of Texas at Austin

IOHIDFamily

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto sytuację wyścigu przez poprawienie obsługi stanu.

CVE-2022-42864: Tommy Muir (@Muirey03)

iTunes Store

Zagrożenie: użytkownik zdalny może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: w procedurze analizowania adresów URL występował błąd. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-42837: Weijia Dai (@dwj1210) z Momo Security

Kernel

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto sytuację wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2022-46689: Ian Beer z Google Project Zero

libxml2

Zagrożenie: użytkownik zdalny może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd przekroczenia zakresu liczb całkowitych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-40303: Maddie Stone z Google Project Zero

libxml2

Zagrożenie: użytkownik zdalny może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2022-40304: Ned Williamson i Nathan Wachholz z Google Project Zero

ppp

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2022-42840: anonimowy badacz

Preferences

Zagrożenie: aplikacja może być w stanie użyć dowolnych uprawnień.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2022-42855: Ivan Fratric z Google Project Zero

Safari

Zagrożenie: wyświetlenie strony zawierającej ramki prezentujące złośliwą zawartość może doprowadzić do podszycia się pod interfejs użytkownika.

Opis: w procedurze obsługi adresów URL występował błąd umożliwiający fałszowanie. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-46695: KirtiKumar Anandrao Ramchandani

TCC

Zagrożenie: aplikacja może być w stanie odczytać poufne informacje o lokalizacji.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2022-46718: Michael (Biscuit) Thomas

Wpis dodano 1 maja 2023 r.

Weather

Zagrożenie: aplikacja może być w stanie odczytać poufne informacje o lokalizacji.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2022-46703: Wojciech Reguła (@_r3ggi) z SecuRing oraz anonimowy badacz

Wpis dodano 16 marca 2023 r.

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

WebKit Bugzilla: 245464
CVE-2023-23496: ChengGang Wu, Yan Kang, YuHao Hu, Yue Sun, Jiming Wang, JiKai Ren i Hang Shu z Institute of Computing Technology, Chinese Academy of Sciences

Wpis dodano 16 marca 2023 r.

WebKit

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: w procedurze obsługi adresów URL występował błąd umożliwiający fałszowanie. Ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2022-46705: Hyeon Park (@tree_segment) z Team ApplePIE

Wpis dodano 16 marca 2023 r.

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący zużycie pamięci przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 245466
CVE-2022-46691: anonimowy badacz

WebKit

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości internetowej może doprowadzić do ujawnienia pamięci procesowej.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2022-42852: hazbinhotel w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może ominąć zasadę wspólnego źródła (Same-Origin Policy).

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

WebKit Bugzilla: 246783
CVE-2022-46692: KirtiKumar Anandrao Ramchandani

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu.

Opis: naprawiono błąd powodujący uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

WebKit Bugzilla: 247562
CVE-2022-46700: Samuel Groß z Google V8 Security

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości internetowej może doprowadzić do wykonania dowolnego kodu. Apple ma świadomość, że problem mógł być aktywnie wykorzystywany w atakach na systemy iOS wydane przed systemem iOS 15.1.

Opis: naprawiono błąd nieprawidłowego rozpoznawania pamięci przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 248266
CVE-2022-42856: Clément Lecigne z Threat Analysis Group firmy Google

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: 16 stycznia 2024 г.