Obsah zabezpečenia v prehliadači Safari 10

V tomto dokumente sa popisuje obsah zabezpečenia v prehliadači Safari 10.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Ďalšie informácie o zabezpečení nájdete na stránke zabezpečenia produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Safari 10

Čítačka Safari

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Povolenie funkcie čítačky Safari na webovej stránke so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k viacerým problémom s overovaním, ktoré boli vyriešené vylepšením čistenia vstupu.

CVE-2016-4618: Erling Ellingsen

Taby v Safari

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Pri spracovávaní relácií tabov dochádzalo k problému so správou stavu. Tento problém bol vyriešený v rámci správu stavu relácií.

CVE-2016-4751: Daniel Chatfield z tímu Monzo Bank

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní prototypov chýb dochádzalo k problému s analýzou. Tento problém bol vyriešený vylepšením overovania.

CVE-2016-4728: Daniel Divricean

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k úniku citlivých dát

Popis: Pri spracovávaní premennej umiestnenia dochádzalo k problému s povoleniami. Tento problém bol vyriešený pridaním ďalších kontrol vlastníctva.

CVE-2016-4758: Masato Kinugawa zo spoločnosti Cure53

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2016-4611: Apple

CVE-2016-4729: Apple

CVE-2016-4730: Apple

CVE-2016-4731: Apple

CVE-2016-4734: natashenka z tímu Google Project Zero

CVE-2016-4735: André Bargull

CVE-2016-4737: Apple

CVE-2016-4759: Tongbo Luo zo spoločnosti Palo Alto Networks

CVE-2016-4762: Zheng Huang zo spoločnosti Baidu Security Lab

CVE-2016-4766: Apple

CVE-2016-4767: Apple

CVE-2016-4768: Hnutie Anonymous v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2016-4769: Tongbo Luo zo spoločnosti Palo Alto Networks

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Webová stránka so škodlivým kódom môže byť schopná získať prístup k službám, ktoré nepoužívajú protokol HTTP

Popis: Podpora protokolu HTTP/0.9 v Safari umožňovala viacprotokolové zneužitie služieb nepoužívajúcich protokol HTTP pomocou zmeny priradení DNS. Tento problém bol vyriešený obmedzením odpovedí protokolu HTTP/0.9 na predvolené porty a zrušením načítania prostriedkov, ak bol dokument načítaný pomocou inej verzie protokolu HTTP.

CVE-2016-4760: Jordan Milne

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením správy stavu.

CVE-2016-4733: natashenka z tímu Google Project Zero

CVE-2016-4765: Apple

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Útočník s oprávneniami v sieti môže byť schopný zaznamenávať a upravovať sieťové prenosy do apiek používajúcich zobrazenie WKWebView s protokolom HTTPS

Popis: Pri spracovávaní zobrazenia WKWebView dochádzalo k problému s overením certifikátu. Tento problém bol vyriešený vylepšením overovania.

CVE-2016-4763: Anonymný výskumník

WebKit

K dispozícii pre: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 a macOS Sierra 10.12

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením správy stavu.

CVE-2016-4764: Apple