Sobre o conteúdo de segurança do iOS 11.4.1

Este documento descreve o conteúdo de segurança do iOS 11.4.1.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Atualizações de segurança da Apple.

Para obter mais informações sobre segurança, consulte a página sobre segurança de produtos Apple. É possível criptografar as comunicações com a Apple usando a Chave PGP de Segurança do Produto Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

iOS 11.4.1

CFNetwork

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: os cookies podem persistir de modo inesperado no Safari

Descrição: um problema no gerenciamento de cookies foi resolvido por meio de melhorias nas verificações.

CVE-2018-4293: pesquisador anônimo

Core Bluetooth

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um aplicativo podia executar códigos arbitrários com privilégios de sistema

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4327: Apple

Emoji

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: o processamento de um emoji em determinadas configurações pode levar a uma negação de serviço

Descrição: um problema de negação de serviço foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4290: Patrick Wardle da Digita Security

Kernel

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um usuário local pode ler a memória do kernel

Descrição: havia um problema de leitura fora dos limites que causava a divulgação da memória do kernel. Esse problema foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4282: Adam Donenfeld (@doadam) da Zimperium zLabs Team, Proteas da Qihoo 360 Nirvan Team, Valentin "slashd" Shilnenkov

libxpc

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um aplicativo pode obter privilégios elevados

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4280: Brandon Azad

libxpc

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um aplicativo malicioso pode ler a memória restrita

Descrição: um problema de leitura fora dos limites foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4248: Brandon Azad

LinkPresentation

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: havia um problema de falsificação no processamento de URLs. Esse problema foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4277: xisigr do Xuanwu Lab da Tencent (tencent.com)

Telefone

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um aplicativo malicioso pode contornar a solicitação de confirmação de chamada

Descrição: havia um problema de lógica no processamento de URLs de chamada. Esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2018-4216: Abraham Masri (@cheesecakeufo)

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um site malicioso pode extrair dados de áudio de origem cruzada

Descrição: o som captado por meio de elementos de áudio pode ser extraído com origem cruzada. Esse problema foi resolvido por meio de melhorias no rastreamento de áudio.

CVE-2018-4278: Jun Kokatsu (@shhnjk)

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um site malicioso pode causar uma negação de serviço

Descrição: uma condição de corrida foi resolvida por meio de validação adicional.

CVE-2018-4266: encontrado por OSS-Fuzz

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: havia um problema de falsificação no processamento de URLs. Esse problema foi resolvido por meio de melhorias na validação de entradas.

CVE-2018-4274: pesquisador anônimo

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no Safari

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4270: encontrado por OSS-Fuzz

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos

Descrição: um problema de confusão de tipos foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4284: encontrado por OSS-Fuzz

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias no processamento da memória.

CVE-2018-4261: Omair em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4262: Mateusz Krzywicki em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4263: Arayz em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4264: encontrado por OSS-Fuzz, Yu Zhou e Jundong Xie da Ant-financial Light-Year Security Lab

CVE-2018-4265: cc em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4267: Arayz da Pangu team em parceria com a Zero Day Initiative da Trend Micro

CVE-2018-4272: encontrado por OSS-Fuzz

WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no Safari

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias na validação de entradas.

CVE-2018-4271: encontrado por OSS-Fuzz

CVE-2018-4273: encontrado por OSS-Fuzz

Carregamento de página do WebKit

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: acessar um site malicioso pode levar à falsificação da barra de endereços

Descrição: um problema de interface de usuário inconsistente foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2018-4260: xisigr da Xuanwu Lab (tencent.com) da Tencent

Wi-Fi

Disponível para: iPhone 5s e posterior, iPad Air e posterior e iPod touch 6ª geração

Impacto: um aplicativo malicioso pode sair de sua área restrita

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias no processamento da memória.

CVE-2018-4275: Brandon Azad

Outros reconhecimentos

Kernel

Gostaríamos de agradecer a juwei lin (@panicaII) da Trend Micro em parceria com a Zero Day Initiative da Trend Micro por sua ajuda.