Проблемы системы безопасности, устраняемые обновлением Safari 11

В этой статье описываются проблемы системы безопасности, устраняемые обновлением Safari 11.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Список последних выпусков представлен на странице Обновления системы безопасности Apple.

Дополнительную информацию о безопасности см. на странице Безопасность продуктов Apple. Зашифровать информацию, передаваемую в Apple, можно с помощью PGP-ключа безопасности продуктов Apple.

В документах Apple о безопасности уязвимости идентифицируются с помощью кода CVE-ID, когда это возможно.

Safari 11

Дата выпуска: 19 сентября 2017 г.

Safari

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Посещение вредоносного веб-сайта может приводить к подмене адресной строки.

Описание. Проблема с единообразием пользовательского интерфейса устранена путем улучшенного управления состояниями.

CVE-2017-7085: пользователь xisigr из отдела Xuanwu Lab компании Tencent (tencent.com)

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Проблема с повреждением данных в памяти устранена путем улучшенной проверки ввода.

CVE-2017-7081: компания Apple

Запись добавлена 25 сентября 2017 г.

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению произвольного кода.

Описание. Ряд проблем с повреждением данных в памяти устранен путем улучшенной обработки памяти.

CVE-2017-7087: компания Apple

CVE-2017-7091: Вэй Юань (Wei Yuan) из лаборатории Baidu Security Lab, сотрудничающей с Trend Micro по программе Zero Day Initiative

CVE-2017-7092: Самуэль Гро (Samuel Gro) и Никлас Баумштарк (Niklas Baumstark), сотрудничающие с Trend Micro по программе Zero Day Initiative, Цисюнь Чжао (Qixun Zhao, @S0rryMybad) из группы Vulcan в Qihoo 360

CVE-2017-7093: Самуэль Гро (Samuel Gro) и Никлас Баумштарк (Niklas Baumstark), сотрудничающие с Trend Micro по программе Zero Day Initiative

CVE-2017-7094: Тим Мичауд (Tim Michaud, @TimGMichaud) из группы Leviathan Security

CVE-2017-7095: Ван Цзюньцзе (Wang Junjie), Вэй Лэй (Wei Lei) и Лю Ян (Liu Yang) из Наньянского технологического университета, сотрудничающего с Trend Micro по программе Zero Day Initiative

CVE-2017-7096: Вэй Юань (Wei Yuan) из лаборатории Baidu Security Lab

CVE-2017-7098: Фелипе Фрейтас (Felipe Freitas) из Instituto Tecnológico de Aeronáutica

CVE-2017-7099: компания Apple

CVE-2017-7100: Масато Кинугава (Masato Kinugawa) и Марио Хайдерих (Mario Heiderich) из Cure53

CVE-2017-7102: Ван Цзюньцзе (Wang Junjie), Вэй Лэй (Wei Lei) и Лю Ян (Liu Yang) из Наньянского технологического университета

CVE-2017-7104: пользователь likemeng из лаборатории Baidu Security Lab

CVE-2017-7107: Ван Цзюньцзе (Wang Junjie), Вэй Лэй (Wei Lei) и Лю Ян (Liu Yang) из Наньянского технологического университета

CVE-2017-7111: пользователь likemeng из лаборатории Baidu Security Lab (xlab.baidu.com), сотрудничающей с Trend Micro по программе Zero Day Initiative

CVE-2017-7117: пользователь lokihardt из Google Project Zero

CVE-2017-7120: пользователь chenqin (陈钦) из Ant-financial Light-Year Security Lab

Запись добавлена 25 сентября 2017 г.

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Обработка вредоносного веб-содержимого может приводить к выполнению универсальных межсайтовых сценариев.

Описание. При обработке родительской вкладки возникала логическая ошибка. Проблема устранена путем улучшенного управления состояниями.

CVE-2017-7089: Антон Лопаницын (Anton Lopanitsyn) из ONSEC, Франс Розен (Frans Rosén) из Detectify

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Файлы cookie, принадлежащие одному источнику, могут быть отправлены другому.

Описание. При обработке переменной геопозиции возникала проблема с обработкой файлов cookie в веб-браузере. Проблема устранена путем ввода запрета на возврат файлов cookie для пользовательских схем URL-адресов.

CVE-2017-7090: компания Apple

Запись добавлена 25 сентября 2017 г.

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Посещение вредоносного веб-сайта может приводить к подмене адресной строки.

Описание. Проблема с единообразием пользовательского интерфейса устранена путем улучшенного управления состояниями.

CVE-2017-7106: Оливер Покстадт (Oliver Paukstadt) из Thinking Objects GmbH (to.com)

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 и macOS High Sierra 10.13

Воздействие. Обработка вредоносного веб-содержимого может приводить к атаке с использованием межсайтовых сценариев.

Описание. Существовала вероятность неожиданного применения политики кэша программы.

CVE-2017-7109: пользователь avlidienbrunn

Запись добавлена 25 сентября 2017 г.

WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13

Воздействие. Вредоносный веб-сайт может отслеживать пользователей даже в режиме частного доступа Safari.

Описание. При обработке переменной геопозиции возникала проблема с обработкой файлов cookie в веб-браузере. Проблема устранена путем улучшенной проверки ограничений.

CVE-2017-7144: Мохаммад Гасемишариф (Mohammad Ghasemisharif) из лаборатории BITS Lab Иллинойсского университета в Чикаго

Запись обновлена 9 октября 2017 г.

Хранилище WebKit

Целевые продукты: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13

Воздействие. После закрытия сеанса частного доступа в Safari данные веб-сайтов могут сохраняться.

Описание. При обработке данных веб-сайтов в окнах частного доступа Safari возникала утечка информации. Проблема устранена путем улучшенной обработки данных.

CVE-2017-7142: Рич Шон О'Коннелл (Rich Shawn O’Connell), анонимный исследователь, анонимный исследователь

Запись добавлена 25 сентября 2017 г., обновлена 10 ноября 2017 г.

Дополнительные благодарности

WebKit

Выражаем благодарность за помощь пользователю xisigr из отдела Xuanwu Lab компании Tencent (tencent.com).

WebKit

Выражаем благодарность за помощь Райану Биджооре (Rayyan Bijoora, @Bijoora) из The City School, PAF Chapter.

WebKit

Выражаем благодарность за помощь пользователю redrain (hongyu из 360CERT).

Запись добавлена 14 февраля 2018 г.

Полноэкранный режим при работе с WebKit

Выражаем благодарность за помощь пользователю xisigr из отдела Xuanwu Lab компании Tencent (tencent.com).

Запись добавлена 14 февраля 2018 г.

Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного характера и не рекламируются компанией. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Помните, что использование любых сведений или продуктов, размещенных в Интернете, сопровождается риском. За дополнительной информацией обращайтесь к поставщику. Другие названия компаний или продуктов могут быть товарными знаками соответствующих владельцев.

Дата публикации: