Despre conținutul de securitate din Safari 11.1

Acest document descrie conținutul de securitate din Safari 11.1.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate pe pagina Actualizări de securitate Apple.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple. Poți să criptezi mesajele prin care comunici cu Apple folosind cheia PGP pentru securitatea produselor Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Safari 11.1

Safari

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: accesarea unui site web rău intenționat poate cauza falsificarea barei de adrese

Descriere: a fost rezolvată o problemă legată de inconstanța interfeței cu utilizatorul prin gestionarea îmbunătățită a stării.

CVE-2018-4102: Kai Zhao de la 3H security team

CVE-2018-4116: @littlelailo, xisigr de la Tencent's Xuanwu Lab (tencent.com)

Descărcări Safari

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: în Navigarea privată, anumite descărcări nu au fost eliminate din lista de descărcări

Descriere: a existat o problemă de scurgere de informații la tratarea descărcărilor în modul Privat în Safari. Această problemă a fost rezolvată prin validare suplimentară.

CVE-2018-4186: un cercetător anonim

Auto-completare login în Safari

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: un site web rău intenționat ar putea exfiltra date completate automat din Safari fără o interacțiune explicită cu utilizatorul.

Descriere: funcția de completare automată din Safari nu necesita o interacțiune explicită cu utilizatorul înainte de a fi inițiată. Problema a fost rezolvată prin îmbunătățirea analizelor euristice pentru completarea automată.

CVE-2018-4137

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod arbitrar

Descriere: au fost rezolvate mai multe probleme de deteriorare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2018-4101: Yuan Deng (Ant-financial Light-Year Security Lab)

CVE-2018-4114: problemă găsită de OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: un cercetător anonim în colaborare cu Zero Day Initiative (Trend Micro)

CVE-2018-4120: Hanming Zhang (@4shitak4) (Qihoo 360 Vulcan Team)

CVE-2018-4121: natashenka (Google Project Zero)

CVE-2018-4122: WanderingGlitch (Zero Day Initiative (Trend Micro))

CVE-2018-4125: WanderingGlitch (Zero Day Initiative (Trend Micro))

CVE-2018-4127: un cercetător anonim în colaborare cu Zero Day Initiative (Trend Micro)

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng (Baidu Security Lab) în colaborare cu Zero Day Initiative (Trend Micro)

CVE-2018-4130: Omair în colaborare cu Zero Day Initiative (Trend Micro)

CVE-2018-4161: WanderingGlitch (Zero Day Initiative (Trend Micro))

CVE-2018-4162: WanderingGlitch (Zero Day Initiative (Trend Micro))

CVE-2018-4163: WanderingGlitch (Zero Day Initiative (Trend Micro))

CVE-2018-4165: Hanming Zhang (@4shitak4) (Qihoo 360 Vulcan Team)

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: accesarea unui site web creat cu rea intenție poate declanșa un atac asupra scripturilor de pe mai multe site-uri

Descriere: a existat o problemă de script trans-site în Safari. Această problemă a fost rezolvată prin îmbunătățirea validării URL.

CVE-2018-4133: Anton Lopanitsyn de la Wallarm, Linus Särud de la Detectify (detectify.com), Yuji Tounai de la NTT Communications Corporation

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cu tipuri de indexare cauza o eroare ASSERT

Descriere: a existat o problemă de indexare a matricei la tratarea unei funcții în nucleul javascript. Această problemă a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2018-4113: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: procesarea unui conținut web creat cu rea intenție poate cauza o refuzare serviciului (DoS)

Descriere: a fost rezolvată o problemă de deteriorare a memoriei prin îmbunătățirea validării intrării.

CVE-2018-4146: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: un site web rău intenționat poate exfiltra date cu origini încrucișate

Descriere: a existat o problemă de origine încrucișată la API-ul fetch. Această problemă a fost rezolvată prin îmbunătățirea validării intrării.

CVE-2018-4117: un cercetător anonim, un cercetător anonim

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cauzează o eroare la ASSERT

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2018-4207: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cauzează o eroare la ASSERT

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2018-4208: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cauzează o eroare la ASSERT

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2018-4209: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cu tipurile de indexare cauza o eroare

Descriere: a existat o problemă de indexare a matricei la tratarea unei funcții în nucleul javascript. Această problemă a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2018-4210: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cauzează o eroare la ASSERT

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2018-4212: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: o interacțiune neașteptată cauzează o eroare la ASSERT

Descriere: această problemă a fost rezolvată prin verificări îmbunătățite.

CVE-2018-4213: problemă găsită de OSS-Fuzz

WebKit

Disponibilitate pentru: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 și macOS High Sierra 10.13.4

Impact: procesarea unui conținut web creat cu rea intenție poate cauza executarea unui cod

Descriere: au fost rezolvate mai multe probleme de deteriorare a memoriei prin îmbunătățirea tratării memoriei.

CVE-2018-4145: găsit de OSS-Fuzz

Alte mențiuni

WebKit

Dorim să-i mulțumim lui Johnny Nipper (Tinder Security Team) pentru asistența acordată.