Acerca dos conteúdos de segurança do iOS 17.2 e iPadOS 17.2

Este documento descreve os conteúdos de segurança do iOS 17.2 e do iPadOS 17.2.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes são apresentados na página Atualizações de segurança da Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.

iOS 17.2 e iPadOS 17.2

Data de lançamento: 11 de dezembro de 2023

Accessibility

Disponível para: iPhone XS e posterior, iPad Pro de 12,9 polegadas (2.ª geração e posterior), iPad Pro de 10,5 polegadas, iPad Pro de 11 polegadas (1.ª geração e posterior), iPad Air (3.ª geração e posterior), iPad (6.ª geração e posterior) e iPad mini (5.ª geração e posterior)

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2023-42937: Noah Roskin-Frazee e Prof. J. (ZeroClicks.ai Lab)

Entrada adicionada a 22 de janeiro de 2024

Accounts

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: um problema de privacidade foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2023-42919: Kirin (@Pwnrin)

Assets

Impacto: uma app poderá conseguir modificar partes protegidas do sistema de ficheiros

Descrição: foi resolvido um problema através do processamento melhorado de ficheiros temporários.

CVE-2023-42896: Mickey Jin (@patch1t)

Entrada adicionada a 22 de março de 2024

AVEVideoEncoder

Impacto: uma app poderá conseguir divulgar a memória do kernel

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2023-42884: investigador anónimo

Bluetooth

Impacto: um atacante numa rede privilegiada pode aceder a combinações de teclas ao falsificar um teclado

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-45866: Marc Newlin da SkySafe

Entrada adicionada a 11 de dezembro de 2023

Bluetooth

Impacto: um atacante com uma posição privilegiada na rede poderá conseguir efetuar um ataque de recusa de serviço com pacotes de Bluetooth

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-42941: Christopher Reynolds

Entrada adicionada a 10 de janeiro de 2024

CallKit

Impacto: um atacante remoto poderá conseguir causar uma recusa de serviço

Descrição: este problema foi resolvido através de verificações melhoradas

CVE-2023-42962: Aymane Chabat

Entrada adicionada a 22 de março de 2024

Find My

Impacto: uma app poderá conseguir ler informações confidenciais de localização

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2023-42922: Wojciech Regula da SecuRing (wojciechregula.blog)

ImageIO

Impacto: o processamento de uma imagem poderá provocar a execução de um código arbitrário

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-42898: Zhenjiang Zhao da Team Pangu, Qianxin e Junsung Lee

CVE-2023-42899: Meysam Firouzi @R00tkitSMM e Junsung Lee

Entrada atualizada a 22 de março de 2024

ImageIO

Impacto: o processamento de uma imagem criada com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-42888: Michael DePlante (@izobashi) do programa Zero Day Initiative da Trend Micro

Entrada adicionada a 22 de janeiro de 2024

IOUSBDeviceFamily

Impacto: uma app poderá conseguir executar um código arbitrário com privilégios do kernel

Descrição: foi resolvida uma condição de disputa através do processamento melhorado do estado.

CVE-2023-42974: Pan ZhenPeng (@Peterpan0927) da STAR Labs SG Pte. Ltd.

Entrada atualizada a 22 de março de 2024

Kernel

Impacto: uma app poderá conseguir infringir a sandbox

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2023-42914: Eloi Benoist-Vanderbeken (@elvanderb) da Synacktiv (@Synacktiv)

Libsystem

Impacto: uma app poderá conseguir aceder a dados do utilizador protegidos

Descrição: foi resolvido um problema de permissões através da remoção do código vulnerável e da adição de verificações adicionais.

CVE-2023-42893

Entrada adicionada a 22 de março de 2024

Safari Private Browsing

Impacto: os separadores de Navegação privada podem ser acedidos sem autenticação

Descrição: este problema foi resolvido através da gestão melhorada do estado.

CVE-2023-42923: ARJUN S D

Sandbox

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2023-42936

Entrada adicionada a 22 de março de 2024

Siri

Impacto: um atacante com acesso físico poderá conseguir utilizar a Siri para aceder a dados confidenciais do utilizador

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2023-42897: Andrew Goldberg da McCombs School of Business, Universidade do Texas em Austin (linkedin.com/andrew-goldberg-/)

TCC

Impacto: uma app poderá conseguir infringir a sandbox

Descrição: foi resolvido um problema de gestão de caminhos através da validação melhorada.

CVE-2023-42947: Zhongquan Li (@Guluisacat) do Dawn Security Lab de JingDong

Entrada adicionada a 22 de março de 2024

WebKit

Impacto: o processamento de conteúdos web poderá provocar a execução de um código arbitrário

Descrição: o problema foi resolvido através do processamento da memória melhorado.

WebKit Bugzilla: 259830
CVE-2023-42890: Pwn2car

WebKit

Impacto: o processamento de uma imagem pode resultar numa recusa de serviço

Descrição: o problema foi resolvido através do processamento da memória melhorado.

WebKit Bugzilla: 263349
CVE-2023-42883: Equipa de segurança da Zoom Offensive

WebKit

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar a execução de um código arbitrário

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) com a gestão melhorada da memória.

WebKit Bugzilla: 263682
CVE-2023-42950: Nan Wang (@eternalsakura13) do 360 Vulnerability Research Institute e rushikesh nandedkar

Entrada adicionada a 22 de março de 2024

WebKit

Impacto: o processamento de conteúdos web pode resultar numa recusa de serviço

Descrição: o problema foi resolvido através do processamento da memória melhorado.

WebKit Bugzilla: 263989
CVE-2023-42956: SungKwon Lee (Demon.Team)

Entrada adicionada a 22 de março de 2024

Agradecimentos adicionais

Safari Private Browsing

Gostaríamos de agradecer a Joshua Lund da Signal Technology Foundation e Iakovos Gurulian pela sua colaboração.

Entrada atualizada a 22 de março de 2024

Setup Assistant

Gostaríamos de agradecer a Aaron Gregory da Acoustic.com e à Eastern Illinois University – Graduate School of Technology pela sua colaboração.

WebKit

Os nossos agradecimentos a 椰椰 pela sua colaboração.

WebSheet

Gostaríamos de agradecer a Paolo Ruggero da e-phors S.p.A. (A FINCANTIERI S.p.A. Company) pela sua colaboração.

Entrada adicionada a 22 de março de 2024

Wi-Fi

Gostaríamos de agradecer a Noah Roskin-Frazee e ao Prof. J. (ZeroClicks.ai Lab) pela sua colaboração.

As informações sobre os produtos não fabricados pela Apple ou os sites independentes não controlados ou testados pela Apple são disponibilizadas sem recomendações nem aprovação. A Apple não assume qualquer responsabilidade no que diz respeito à seleção, ao desempenho ou à utilização dos sites ou produtos de terceiros. A Apple não garante a precisão nem a fiabilidade dos sites de terceiros. Contacte o fornecedor para obter mais informações.

Data de publicação: 02 de abril de 2024