Sobre o conteúdo de segurança do iOS 17.2 e iPadOS 17.2

Este documento descreve o conteúdo de segurança do iOS 17.2 e iPadOS 17.2.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que uma investigação seja conduzida e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para obter mais informações sobre segurança, consulte a página sobre segurança de produtos Apple.

iOS 17.2 e iPadOS 17.2

Lançado em 11 de dezembro de 2023

Accessibility

Disponível para: iPhone XS e posterior, iPad Pro de 12,9 polegadas (2ª geração) e posterior, iPad Pro de 10,5 polegadas, iPad Pro de 11 polegadas (1ª geração) e posterior, iPad Air (3ª geração) e posterior, iPad (6ª geração) e posterior, iPad mini (5ª geração) e posterior

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.

CVE-2023-42937: Noah Roskin-Frazee e Prof. J. (ZeroClicks.ai Lab)

Entrada adicionada em 22 de janeiro de 2024

Accounts

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de privacidade foi resolvido com a redação aprimorada de dados privados para entradas de registro.

CVE-2023-42919: Kirin (@Pwnrin)

Assets

Impacto: um app pode conseguir modificar áreas protegidas do sistema de arquivos

Descrição: um problema foi resolvido por meio de melhorias do processamento de arquivos temporários.

CVE-2023-42896: Mickey Jin (@patch1t)

Entrada adicionada em 22 de março de 2024

AVEVideoEncoder

Impacto: um app pode divulgar a memória do kernel

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2023-42884: pesquisador anônimo

Bluetooth

Impacto: um invasor com uma posição privilegiada de rede poderia ser capaz de introduzir toques de teclas ao falsificar um teclado

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2023-45866: Marc Newlin da SkySafe

Entrada adicionada em 11 de dezembro de 2023

Bluetooth

Impacto: um invasor em uma posição de rede privilegiada pode executar ataque de negação de serviço usando pacotes Bluetooth criados com códigos maliciosos

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2023-42941: Christopher Reynolds

Entrada adicionada em 10 de janeiro de 2024

CallKit

Impacto: um invasor remoto podia causar uma negação de serviço

Descrição: esse problema foi resolvido por meio de melhorias nas verificações

CVE-2023-42962: Aymane Chabat

Entrada adicionada em 22 de março de 2024

Find My

Impacto: um app pode conseguir ler informações confidenciais de localização

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2023-42922: Wojciech Regula da SecuRing (wojciechregula.blog)

ImageIO

Impacto: processar uma imagem poderia causar a execução de códigos arbitrários

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2023-42898: Zhenjiang Zhao da Pangu Team, Qianxin e Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM e Junsung Lee

Entrada atualizada em 22 de março de 2024

ImageIO

Impacto: processar uma imagem criada com códigos maliciosos poderia resultar na divulgação da memória de processamento

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2023-42888: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

Entrada adicionada em 22 de janeiro de 2024

IOUSBDeviceFamily

Impacto: um app pode conseguir executar códigos arbitrários com privilégios de kernel

Descrição: uma condição de corrida foi resolvida por meio de melhorias no gerenciamento de estados.

CVE-2023-42974: Pan ZhenPeng (@Peterpan0927) do STAR Labs SG Pte. Ltd.

Entrada atualizada em 22 de março de 2024

Kernel

Impacto: um app pode conseguir sair de sua área restrita

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) do Synacktiv (@Synacktiv)

Libsystem

Impacto: um app pode conseguir acessar dados protegidos do usuário

Descrição: um problema de permissões foi resolvido por meio da remoção do código vulnerável e da inclusão de verificações adicionais.

CVE-2023-42893

Entrada adicionada em 22 de março de 2024

Safari Private Browsing

Impacto: as abas de navegação privada podem ser acessadas sem autenticação

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2023-42923: ARJUN S D

Sandbox

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2023-42936

Entrada adicionada em 22 de março de 2024

Siri

Impacto: um invasor com acesso físico pode usar a Siri para acessar dados confidenciais do usuário

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2023-42897: Andrew Goldberg da The McCombs School of Business, The University of Texas at Austin (linkedin.com/andrew-goldberg-/)

TCC

Impacto: um app pode conseguir sair de sua área restrita

Descrição: um problema de processamento de caminhos foi resolvido por meio de melhorias na validação.

CVE-2023-42947: Zhongquan Li (@Guluisacat) do Dawn Security Lab de JingDong

Entrada adicionada em 22 de março de 2024

WebKit

Impacto: o processamento de conteúdo da web pode causar a execução de códigos arbitrários

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 259830
CVE-2023-42890: Pwn2car

WebKit

Impacto: o processamento de uma imagem pode levar a uma negação de serviço

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 263349
CVE-2023-42883: Zoom Offensive Security Team

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode levar à execução arbitrária de códigos

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

WebKit Bugzilla: 263682
CVE-2023-42950: Nan Wang (@eternalsakura13) do 360 Vulnerability Research Institute e rushikesh nandedkar

Entrada adicionada em 22 de março de 2024

WebKit

Impacto: o processamento de conteúdo da web pode levar a uma negação de serviço

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 263989
CVE-2023-42956: SungKwon Lee (Demon.Team)

Entrada adicionada em 22 de março de 2024

Outros reconhecimentos

Safari Private Browsing

Gostaríamos de agradecer a Joshua Lund, da Signal Technology Foundation, e Iakovos Gurulian, pela ajuda.

Entrada atualizada em 22 de março de 2024

Setup Assistant

Gostaríamos de agradecer a Aaron Gregory, da Acoustic.com e da Eastern Illinois University - Graduate School of Technology, por sua ajuda.

WebKit

Gostaríamos de agradecer a 椰椰 pela ajuda.

WebSheet

Gostaríamos de agradecer a Paolo Ruggero da e-phors S.p.A. (A FINCANTIERI S.p.A. Company) pela ajuda.

Entrada adicionada em 22 de março de 2024

Wi-Fi

Gostaríamos de agradecer a Noah Roskin-Frazee e Prof J. (ZeroClicks.ai Lab) pela ajuda.

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: 02 de abril de 2024