Проблемы системы безопасности, устраняемые обновлением iOS 14.3 и iPadOS 14.3

В этом документе описываются проблемы системы безопасности, устраняемые обновлением iOS 14.3 и iPadOS 14.3.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительную информацию о безопасности продуктов Apple см. на этой странице.

Обновления программного обеспечения для iOS 14.3 и iPadOS 14.3

Выпущено 14 декабря 2020 г.

App Store

Доступно для: iPhone 6s и более поздних моделей, iPad Air 2 и более поздних моделей, iPad mini 4 и более поздних моделей, а также iPod touch (7-го поколения).

Воздействие. В запросе на установку корпоративного приложения может отображаться неправильный домен.

Описание. Логическая проблема устранена путем улучшенного управления состояниями.

CVE-2020-29613: Райан Пикрен (Ryan Pickren, ryanpickren.com)

Audio

Воздействие. Обработка вредоносного аудиофайла может приводить к раскрытию области памяти с ограниченным доступом.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2020-29610: анонимный исследователь, сотрудничающий с компанией Trend Micro в рамках программы Zero Day Initiative

Запись добавлена 16 марта 2021 г.

CoreAudio

Воздействие. Обработка вредоносного аудиофайла может приводить к выполнению произвольного кода.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2020-27948: Цзюньдун Се (JunDong Xie) из компании Ant Security Light-Year Lab

FontParser

Воздействие. Удаленный злоумышленник может инициировать утечку данных памяти.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2020-29608: Синвэй Линь (Xingwei Lin) из подразделения безопасности Light-Year компании Ant Group

Запись добавлена 16 марта 2021 г.

FontParser

Воздействие. Обработка вредоносного шрифта может приводить к раскрытию памяти процессов.

Описание. Проблема раскрытия информации устранена путем улучшения управления состояниями.

CVE-2020-27946: Матеуш Юрчик (Mateusz Jurczyk) из Google Project Zero

FontParser

Воздействие. Обработка вредоносного файла шрифта может приводить к выполнению произвольного кода.

Описание. При обработке файлов шрифтов существовала проблема повреждения памяти. Эта проблема устранена путем улучшенной проверки ввода.

CVE-2020-27943: Матеуш Юрчик (Mateusz Jurczyk) из Google Project Zero

CVE-2020-27944: Матеуш Юрчик (Mateusz Jurczyk) из Google Project Zero

CVE-2020-29624: Матеуш Юрчик (Mateusz Jurczyk) из Google Project Zero

Запись обновлена 22 декабря 2020 г.

ImageIO

Воздействие. Обработка вредоносного изображения может приводить к отказу в обслуживании.

CVE-2020-29615: Синвэй Лин (XingWei Lin) из подразделения безопасности Light-Year компании Ant Group

Запись добавлена 16 марта 2021 г.

ImageIO

Воздействие. При обработке вредоносного изображения возможно повреждение динамической памяти.

CVE-2020-29617: XingWei Lin из подразделения безопасности Light-Year компании Ant Group

CVE-2020-29619: XingWei Lin из подразделения безопасности Light-Year компании Ant Group

Запись обновлена 16 марта 2021 г.

ImageIO

Воздействие. Обработка вредоносного изображения может приводить к выполнению произвольного кода.

CVE-2020-29618: XingWei Lin из подразделения безопасности Light-Year компании Ant Group

Запись обновлена 16 марта 2021 г.

ImageIO

Воздействие. Обработка вредоносного изображения может приводить к выполнению произвольного кода.

CVE-2020-29611: Александру-Влад Никулае (Alexandru-Vlad Niculae), сотрудничающий с Google Project Zero

Запись обновлена 17 декабря 2020 г.

Model I/O

Воздействие. При обработке вредоносного файла возможно повреждение динамической памяти.

Описание. Проблема устранена путем улучшения проверок.

CVE-2020-29614: Чживэй Сун (ZhiWei Sun, @5n1p3r0010) из Topsec Alpha Lab

Запись добавлена 16 марта 2021 г.

Model I/O

Воздействие. Обработка вредоносного файла USD может привести к неожиданному завершению работы приложения или выполнению произвольного кода.

Описание. Проблема переполнения буфера устранена путем улучшенной обработки памяти.

CVE-2020-9972: Aleksandar Nikolic из Cisco Talos

Запись добавлена 16 марта 2021 г.

Security

Воздействие. Несанкционированное выполнение кода может приводить к нарушению политики аутентификации.

Описание. Проблема устранена путем улучшения проверок.

CVE-2020-27951: специалисты Apple

WebKit Storage

Воздействие. Пользователь не всегда может полностью удалить историю просмотров.

Описание. Команда «Очистить историю и данные» не очищала историю. Проблема устранена путем улучшения технологии очистки данных.

CVE-2020-29623: Саймон Хант (Simon Hunt) из OvalTwo

Запись добавлена 16 марта 2021 г.

WebRTC

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2020-15969: анонимный исследователь

Wi-Fi

Воздействие. Вредоносное приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной проверки размера.

CVE-2021-31077: Lee из CompSec@SNU

Запись добавлена 16 марта 2023 г.

Дополнительные благодарности

CoreAudio

Выражаем благодарность за помощь Цзюньдуну Се (JunDong Xie) и Синвэю Лину (XingWei Lin) из компании Ant Security Light-Year Lab.

Запись добавлена 16 марта 2021 г.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.

Дата публикации: 31 октября 2023 г.