Despre conținutul de securitate din iOS 17.1 și iPadOS 17.1

Acest document descrie conținutul de securitate din iOS 17.1 și iPadOS 17.1.

Despre actualizările de securitate Apple

Pentru protecția clienților noștri, Apple nu divulgă, nu discută și nu confirmă problemele de securitate până când nu se efectuează o investigație și până când nu sunt disponibile corecții sau versiuni noi. Versiunile recente sunt listate în pagina Versiuni de securitate Apple.

Documentele de securitate Apple menționează vulnerabilitățile după CVE-ID (ID CVE), atunci când este posibil.

Pentru informații suplimentare despre securitate, consultă pagina referitoare la securitatea produselor Apple.

iOS 17.1 și iPadOS 17.1

Lansare: 25 octombrie 2023

Automation

Disponibilitate pentru: iPhone XS și modele ulterioare, iPad Pro 12,9 inchi (a 2-a generație și modele ulterioare), iPad Pro 10,5 inchi, iPad Pro 11 inchi (prima generație și modele ulterioare), iPad Air (a 3-a generație și modele ulterioare), iPad (a 6-a generație și modele ulterioare) și iPad mini (a 5-a generație și modele ulterioare)

Impact: o aplicație cu privilegii de rădăcină poate accesa informații private

Descriere: problema a fost remediată prin îmbunătățirea verificărilor.

CVE-2023-42952: Zhipeng Huo (@R3dF09) (Laboratorul Tencent Security Xuanwu) (xlab.tencent.com)

Adăugare intrare: vineri, 16 februarie 2024

Contacts

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: a fost rezolvată o problemă de confidențialitate prin îmbunătățirea ascunderii datelor private pentru intrările în jurnal.

CVE-2023-41072: Wojciech Regula de la SecuRing (wojciechregula.blog) și Csaba Fitzl (@theevilbit) de la Offensive Security

CVE-2023-42857: Noah Roskin-Frazee și Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Impact: o aplicație poate provoca o refuzare a serviciului

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-40449: Tomi Tokics (@tomitokics) (iTomsn0w)

Core Recents

Impact: este posibil ca o aplicație să poată accesa date sensibile ale utilizatorilor

Descriere: problema a fost rezolvată prin igienizarea jurnalizării

CVE-2023-42823

Adăugare intrare: vineri, 16 februarie 2024

FairPlay

Impact: este posibil ca o aplicație să obțină privilegii de nivel ridicat

Descriere: problema a fost remediată prin îmbunătățirea verificării limitelor.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14) STAR Labs SG Pte. Ltd.

Adăugare intrare: vineri, 16 februarie 2024

Find My

Impact: o aplicație poate citi informații de localizare sensibile

Descriere: problema a fost remediată printr-o manipulare îmbunătățită a cache-urilor.

CVE-2023-40413: Adam M.

Find My

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: a fost rezolvată o problemă de confidențialitate prin îmbunătățirea tratării fișierelor.

CVE-2023-42834: Csaba Fitzl (@theevilbit) (Offensive Security)

Adăugare intrare: 16 februarie 2024

Game Center

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: o problemă de permisiuni a fost rezolvată prin restricții suplimentare.

CVE-2023-42953: Michael (Biscuit) Thomas - @biscuit@social.lol

Adăugare intrare: 16 februarie 2024

ImageIO

Impact: procesarea unei imagini poate cauza divulgarea memoriei de proces

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-40416: JZ

ImageIO

Impact: procesarea unei imagini create cu rea intenție poate cauza alterarea segmentului

Descriere: problema a fost remediată prin îmbunătățirea verificării limitelor.

CVE-2023-42848: JZ

Adăugare intrare: 16 februarie 2024

IOTextEncryptionFamily

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-40423: un cercetător anonim

Kernel

Impact: un atacator care a obținut deja executarea codului kernel poate reuși să evite atenuări ale memoriei kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-42849: Linus Henze (Pinauten GmbH) (pinauten.de)

libc

Impact: procesarea de date introduse create cu rea intenție poate duce la executarea unui cod arbitrar la aplicațiile instalate de utilizator

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-40446: inooo

Intrare adăugată la 3 noiembrie 2023

libxpc

Impact: o aplicație rău intenționată poate să obțină privilegii de rădăcină

Descriere: această problemă a fost rezolvată prin îmbunătățirea gestionării linkurilor simbolice.

CVE-2023-42942: Mickey Jin (@patch1t)

Adăugare intrare: 16 februarie 2024

Mail Drafts

Impact: opțiunea Mascare e-mail poate fi dezactivată în mod neașteptat

Descriere: a fost rezolvată o problemă legată de inconstanța interfeței cu utilizatorul prin gestionarea îmbunătățită a stării.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Impact: se poate ca un dispozitiv să fie urmărit în mod pasiv după adresa sa MAC Wi-Fi

Descriere: această problemă a fost rezolvată prin eliminarea codului vulnerabil.

CVE-2023-42846: Talal Haj Bakry și Tommy Mysk de la Mysk Inc. @mysk_co

Passkeys

Impact: un atacator poate avea acces la cheile de acces fără autentificare

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2023-42847: un cercetător anonim

Photos

Impact: fotografiile din albumul Poze ascunse pot fi vizualizate fără autentificare

Descriere: a fost rezolvată o problemă de autentificare prin îmbunătățirea gestionării stării.

CVE-2023-42845: Bistrit Dahal

Intrare actualizată pe vineri, 16 februarie 2024

Pro Res

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu și Guang Gong (360 Vulnerability Research Institute)

Pro Res

Impact: o aplicație poate să execute cod arbitrar cu privilegii de kernel

Descriere: problema a fost remediată prin îmbunătățirea verificării limitelor.

CVE-2023-42873: Mingxuan Yang (@PPPF00L) și happybabywu și Guang Gong (360 Vulnerability Research Institute)

Adăugare intrare: 16 februarie 2024

Safari

Impact: este posibil ca un utilizator să nu poată șterge elemente din istoricul de navigare

Descriere: problema a fost remediată printr-o manipulare îmbunătățită a cache-urilor.

CVE-2023-42951: Adis Alic

Adăugare intrare: 16 februarie 2024

Sandbox

Impact: un atacator poate accesa volume de rețea conectate care sunt montate în directorul de reședință

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Adăugare intrare: 16 februarie 2024

Sandbox

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: această problemă a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Adăugare intrare: 16 februarie 2024

Setup Assistant

Impact: un atacator cu acces fizic poate să persiste silențios un ID Apple pe un dispozitiv șters

Descriere: această problemă a fost rezolvată prin îmbunătățirea gestionării stării.

CVE-2023-42855: Sam Lakmaker

Adăugare intrare: 16 februarie 2024

Share Sheet

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: a fost rezolvată o problemă de confidențialitate prin îmbunătățirea ascunderii datelor private pentru intrările în jurnal.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula (SecuRing) (wojciechregula.blog) și Cristian Dinca („Tudor Vianu” National High School of Computer Science, România)

Adăugare intrare: 16 februarie 2024

Siri

Impact: un atacator cu acces fizic poate folosi asistentul Siri pentru a accesa date sensibile despre utilizatori

Descriere: această problemă a fost rezolvată prin restricționarea opțiunilor oferite pe un dispozitiv blocat.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Intrare actualizată pe vineri, 16 februarie 2024

Siri

Impact: o aplicație poate scurge informații sensibile ale utilizatorilor

Descriere: această problemă a fost rezolvată prin îmbunătățirea ascunderii informațiilor sensibile.

CVE-2023-42946

Adăugare intrare: 16 februarie 2024

Status Bar

Impact: este posibil ca un dispozitiv să nu reușească să se blocheze în mod repetat

Descriere: problema a fost remediată prin îmbunătățirea gestionării interfeței cu utilizatorul.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, un cercetător anonim, Lorenzo Cavallaro și Harry Lewandowski

Weather

Impact: o aplicație poate fi capabilă să acceseze date sensibile despre utilizatori

Descriere: a fost rezolvată o problemă de confidențialitate prin îmbunătățirea redactării datelor private pentru intrările în jurnal.

CVE-2023-41254: Cristian Dinca de la Colegiul Național de Informatică „Tudor Vianu”, România

WebKit

Impact: procesarea conținutului web poate cauza executarea de cod arbitrar

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성(Junsung Lee) (Cross Republic)

WebKit

Impact: procesarea conținutului web poate cauza executarea de cod arbitrar

Descriere: o problemă de corupere a memoriei a fost rezolvată printr-o gestionare mai bună a memoriei.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Impact: procesarea conținutului web poate cauza executarea de cod arbitrar

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea verificărilor.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) și Vitor Pedreira (@0xvhp_) (Agile Information Security)

Intrare actualizată pe vineri, 16 februarie 2024

WebKit

Impact: accesarea unui site web rău intenționat poate cauza falsificarea barei de adrese

Descriere: a fost rezolvată o problemă legată de inconstanța interfeței cu utilizatorul prin gestionarea îmbunătățită a stării.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Adăugare intrare: 16 februarie 2024

WebKit

Impact: activitatea de navigare privată a unui utilizator poate fi salvată în mod neașteptat în Raportul de confidențialitate a aplicațiilor

Descriere: o problemă de logică a fost rezolvată prin îmbunătățirea verificărilor.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia) (Lakshmi Narain College Of Technology, Bhopal, India)

Adăugare intrare: 16 februarie 2024

WebKit Process Model

Impact: procesarea unui conținut web poate cauza o refuzare a serviciului

Descriere: problema a fost remediată prin îmbunătățirea gestionării memoriei.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성(Junsung Lee)

Alte mențiuni

libarchive

Dorim să-i mulțumim lui Bahaa Naamneh pentru asistența acordată.

libxml2

Dorim să le mulțumim lui OSS-Fuzz și lui Ned Williamson (Google Project Zero) pentru asistență.

Power Manager

Dorim să îi mulțumim lui Xia0o0o0o (@Nyaaaaa_ovo) de la University of California, San Diego pentru asistență.

ReplayKit

Dorim să îi mulțumim lui Abhay Kailasia (@abhay_kailasia) de la Lakshmi Narain College of Technology pentru asistență.

Adăugare intrare: 16 februarie 2024

VoiceOver

Dorim să îi mulțumim lui Abhay Kailasia (@abhay_kailasia) de la Lakshmi Narain College Of Technology Bhopal India pentru asistența acordată.

WebKit

Dorim să îi mulțumim unui cercetător anonim pentru asistență.

WebKit

Dorim să le mulțumim lui Gishan Don Ranasinghe și unui cercetător anonim pentru asistența acordată.

Adăugare intrare: 16 februarie 2024

WidgetKit

Dorim să îi mulțumim lui Abhay Kailasia (@abhay_kailasia) de la Lakshmi Narain College Of Technology Bhopal India pentru asistența acordată.

Adăugare intrare: 16 februarie 2024

Informațiile despre produsele care nu sunt fabricate de Apple sau despre site-urile web independente care nu sunt controlate sau testate de Apple sunt furnizate fără recomandare sau aprobare. Apple nu își asumă nicio responsabilitate în ceea ce privește selectarea, funcționarea sau utilizarea site-urilor web sau produselor de la terți. Apple nu face niciun fel de declarații privind acuratețea sau fiabilitatea site-urilor web terțe. Contactează furnizorul acestor produse pentru a obține mai multe informații.

Data publicării: 27 februarie 2024