Sobre o conteúdo de segurança do Safari 11.1

Este documento descreve o conteúdo de segurança do Safari 11.1.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Atualizações de segurança da Apple.

Para obter mais informações sobre segurança, consulte a página sobre Segurança do Produto Apple. É possível criptografar as comunicações com a Apple usando a Chave PGP de Segurança do Produto Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Safari 11.1

Safari

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: um problema de interface de usuário inconsistente foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2018-4102: Kai Zhao da equipe de segurança 3H

CVE-2018-4116: @littlelailo, xisigr do Xuanwu Lab da Tencent (tencent.com)

Transferências do Safari

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: na navegação privada, alguns downloads não foram removidos da lista de downloads

Descrição: havia um problema de vazamento de informações no processamento de downloads em janelas de navegação privada no Safari. Esse problema foi resolvido por meio de validações adicionais.

CVE-2018-4186: pesquisador anônimo

Preenchimento automático do início de sessão do Safari

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: um site malicioso pode extrair dados de preenchimento automático do Safari sem a interação explícita do usuário.

Descrição: o preenchimento automático do Safari não solicitou a interação explícita do usuário antes de ocorrer. Esse problema foi resolvido por meio de melhorias na heurística do preenchimento automático.

CVE-2018-4137

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias no processamento da memória.

CVE-2018-4101: Yuan Deng da Ant-financial Light-Year Security Lab

CVE-2018-4114: encontrado por OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: pesquisador anônimo em parceira com a Zero Day Initiative da Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) da Qihoo 360 Vulcan Team

CVE-2018-4121: natashenka do Google Project Zero

CVE-2018-4122: WanderingGlitch da Zero Day Initiative da Trend Micro

CVE-2018-4125: WanderingGlitch da Zero Day Initiative da Trend Micro

CVE-2018-4127: pesquisador anônimo em parceira com a Zero Day Initiative da Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng da Baidu Security Lab em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4130: Omair em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4161: WanderingGlitch da Zero Day Initiative da Trend Micro

CVE-2018-4162: WanderingGlitch da Zero Day Initiative da Trend Micro

CVE-2018-4163: WanderingGlitch da Zero Day Initiative da Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) da Qihoo 360 Vulcan Team

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: acessar um site criado com códigos mal-intencionados pode resultar em um ataque de transmissão de script entre sites

Descrição: havia um problema de transmissão de script entre sites no Safari. Esse problema foi resolvido por meio de melhorias na validação de URL.

CVE-2018-4133: Anton Lopanitsyn da Wallarm, Linus Särud da Detectify (detectify.com), Yuji Tounai da NTT Communications Corporation

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: interação inesperada com os tipos de indexação causando uma falha ASSERT

Descrição: havia um problema de indexação de matriz no processamento de uma função no núcleo de javascript. Esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4113: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: processar conteúdo da web criado com códigos maliciosos pode resultar em uma negação de serviço

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4146: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: um site malicioso pode extrair dados de origem cruzada

Descrição: havia um problema de origem cruzada com a API de busca. O problema foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4117: pesquisador anônimo, pesquisador anônimo

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada causa uma falha ASSERT

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4207: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada causa uma falha ASSERT

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4208: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada causa uma falha ASSERT

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4209: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada com os tipos de indexação causava uma falha

Descrição: havia um problema de indexação de matriz no processamento de uma função no núcleo de javascript. Esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4210: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada causa uma falha ASSERT

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4212: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: uma interação inesperada causa uma falha ASSERT

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2018-4213: encontrado por OSS-Fuzz

WebKit

Disponível para: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 e macOS High Sierra 10.13.4

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução de códigos

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias no processamento da memória.

CVE-2018-4145: encontrado por OSS-Fuzz

Outros reconhecimentos

WebKit

Gostaríamos de agradecer a Johnny Nipper da Equipe de Segurança do Tinder pela ajuda.