Obsah zabezpečenia v systéme iOS 10.3

V tomto dokumente sa popisuje obsah zabezpečenia v systéme iOS 10.3.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

iOS 10.3

Účty

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Používateľ môže byť schopný zobraziť Apple ID zo zamknutej plochy

Popis: Dochádzalo k problému so správou výziev, ktorý bol vyriešený odstránením autentifikačných výziev iCloudu zo zamknutej plochy.

CVE-2017-2397: Suprovici Vadim z tímu UniApps, anonymný výskumník

Zvuk

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie zvukového súboru so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2430: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2017-2462: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

Carbon

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie súboru .dfont so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní súborov písiem dochádzalo k pretečeniu medzipamäte. Tento problém bol vyriešený vylepšením kontroly rozsahu.

CVE-2017-2379: John Villamil, Doyensec, riusksk (泉哥) z oddelenia Tencent Security Platform Department

CoreGraphics

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému s nekonečnou rekurziou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2017-2417: riusksk (泉哥) z oddelenia Tencent Security Platform Department

CoreGraphics

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2017-2444: Mei Wang z tímu 360 GearTeam

CoreText

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2435: John Villamil, Doyensec

CoreText

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie škodlivého písma môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2450: John Villamil, Doyensec

CoreText

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie textovej správy so škodlivým kódom môže viesť k odmietnutiu služby apky

Popis: Dochádzalo k problému s vyčerpaním prostriedkov, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2461: Isaac Archambault z IDAoADI, anonymný výskumník

DataAccess

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Nakonfigurovanie účtu Exchange s nesprávne zadanou e-mailovou adresou môže viesť k použitiu neočakávaného servera

Popis: Pri spracovávaní e-mailových adries Exchange dochádzalo k problému s overovaním vstupu. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2017-2414: Ilya Nesterov a Maxim Goncharov

FontParser

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie súboru písma so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2017-2487: riusksk (泉哥) z oddelenia Tencent Security Platform Department

CVE-2017-2406: riusksk (泉哥) z oddelenia Tencent Security Platform Department

FontParser

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Analýza súboru písma so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2017-2407: riusksk (泉哥) z oddelenia Tencent Security Platform Department

FontParser

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie škodlivého písma môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2439: John Villamil, Doyensec

HomeKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: V ovládacom centre sa môže neočakávane zobraziť ovládanie domácnosti

Popis: Pri spracovávaní ovládania domácnosti dochádzalo k problému so stavom. Tento problém bol vyriešený vylepšením overovania.

CVE-2017-2434: Suyash Narain z Indie

HTTPProtocol

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Škodlivý server HTTP/2 môže byť schopný spôsobiť nedefinované správanie

Popis: Vo verziách knižnice nghttp2 starších ako 1.17.0 dochádzalo k viacerým problémom. Tieto problémy boli vyriešené aktualizovaním knižnice nghttp2 na verziu 1.17.0.

CVE-2017-2428

ImageIO

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2416: Qidan He (何淇丹, @flanker_hqd) z KeenLab, Tencent

ImageIO

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Zobrazenie súboru JPEG so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2432: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

ImageIO

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k neočakávanému ukončeniu apky alebo spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2467

ImageIO

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k neočakávanému ukončeniu apky

Popis: Vo verziách knižnice LibTIFF starších ako 4.0.7 dochádzalo k problému s čítaním dát v zakázaných oblastiach. Tento problém bol vyriešený aktualizovaním knižnice LibTIFF v triede ImageIO na verziu 4.0.7.

CVE-2016-3619

iTunes Store

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Útočník s vysokými oprávneniami v sieti môže byť schopný manipulovať so sieťovými prenosmi iTunes

Popis: Požiadavky na webové služby v izolovanej oblasti iTunes sa odosielali vo formáte obyčajného textu. Tento problém bol vyriešený povolením protokolu HTTPS.

CVE-2017-2412: Richard Shupak (linkedin.com/in/rshupak)

JavaScriptCore

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2017-2491: Apple

JavaScriptCore

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webovej stránky so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k problému s prototypom, ktorý bol vyriešený vylepšením logiky.

CVE-2017-2492: lokihardt z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2398: Lufeng Li z tímu Qihoo 360 Vulcan Team

CVE-2017-2401: Lufeng Li z tímu Qihoo 360 Vulcan Team

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s pretečením celočíselných hodnôt, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2440: Anonymný výskumník

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami používateľa root

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2017-2456: lokihardt z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2017-2472: Ian Beer z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka so škodlivým kódom môže spúšťať ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2473: Ian Beer z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s použitím hodnoty o jednotku menšej alebo väčšej, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2017-2474: Ian Beer z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s postupnosťou vykonania procesov, ktorý bol vyriešený vylepšením zamykania.

CVE-2017-2478: Ian Beer z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému s pretečením medzipamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2017-2482: Ian Beer z tímu Google Project Zero

CVE-2017-2483: Ian Beer z tímu Google Project Zero

Jadro

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód so zvýšenými oprávneniami

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2017-2490: Ian Beer z tímu Google Project Zero, Národné centrum Spojeného kráľovstva pre kybernetickú bezpečnosť (NCSC)

Klávesnice

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód

Popis: Dochádzalo k problému s pretečením medzipamäte, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2017-2458: Shashank (@cyberboyIndia)

Kľúčenka

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Útočník, ktorý dokáže zaznamenávať pripojenia TLS, môže byť schopný čítať tajné informácie chránené iCloud Kľúčenkou.

Popis: iCloud Kľúčenka v niektorých prípadoch neoverovala pravosť paketov OTR. Tento problém bol vyriešený vylepšením overovania.

CVE-2017-2448: Alex Radocea zo spoločnosti Longterm Security, Inc.

libarchive

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Lokálny útočník môže byť schopný meniť povolenia súborového systému ľubovoľných adresárov

Popis: Pri spracovávaní symbolických odkazov dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania symbolických odkazov.

CVE-2017-2390: Omer Medan zo spoločnosti enSilo Ltd

libc++abi

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Dekódovanie názvov funkcií apky v jazyku C++ so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2017-2441

libxslt

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Viacero zraniteľností v knižnici libxslt

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2017-5029: Holger Fuhrmannek

Pasteboard

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Osoba s fyzickým prístupom k zariadeniu so systémom iOS môže čítať pasteboard

Popis: Pasteboard bol šifrovaný pomocou kľúča, ktorý bol chránený len hardvérovým identifikátorom UID. Tento problém bol vyriešený šifrovaním pasteboardu pomocou kľúča, ktorý je chránený hardvérovým identifikátorom UID a prístupovým kódom používateľa.

CVE-2017-2399

Telefón

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka od iného výrobcu môže inicializovať telefonický hovor bez interakcie používateľa

Popis: V systéme iOS dochádzalo k problému, ktorý povoľoval hovory bez zobrazenia výzvy. Tento problém bol vyriešený pridaním výzvy na potvrdenie inicializácie hovoru.

CVE-2017-2484

Profily

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Útočník môže byť schopný zneužiť nedostatočne zabezpečené miesta v šifrovacom algoritme DES

Popis: Do klienta SCEP bola pridaná podpora kryptografického algoritmu 3DES a algoritmus DES bol označený za zastaraný.

CVE-2017-2380: Anonymný výskumník

Rýchly náhľad

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Klepnutie na odkaz typu tel v PDF dokumente mohlo aktivovať hovor bez zobrazenia výzvy používateľovi

Popis: Pri kontrole URL adries typu tel pred inicializáciou hovoru dochádzalo k problému. Tento problém bol vyriešený pridaním výzvy na potvrdenie.

CVE-2017-2404: Tuan Anh Ngo (Melbourne, Austrália), Christoph Nehring

Safari

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému so správou stavu, ktorý bol vyriešený zakázaním textového vstupu až do načítania cieľovej stránky.

CVE-2017-2376: Anonymný výskumník, Michal Zalewski zo spoločnosti Google Inc., Muneaki Nishimura (nishimunea) zo spoločnosti Recruit Technologies Co., Ltd., Chris Hlady zo spoločnosti Google Inc., anonymný výskumník, Yuyang Zhou z oddelenia Tencent Security Platform Department (security.tencent.com)

Safari

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Lokálny používateľ môže byť schopný odhaliť webové stránky navštívené používateľom v režime anonymného prezerania

Popis: Pri vymazávaní dát SQLite dochádzalo k problému. Tento problém bol vyriešený vylepšením čistenia dát SQLite.

CVE-2017-2384

Safari

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k zobrazeniu autentifikačných kariet na ľubovoľných webových stránkach

Popis: Pri spracovávaní autentifikácie HTTP dochádzalo k problému s falšovaním a odmietnutím služby. Tento problém bol vyriešený nastavením autentifikačných kariet HTTP na nemodálne.

CVE-2017-2389: ShenYeYinJiu z tímu Tencent Security Response Center, TSRC

Safari

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Návšteva webovej stránky so škodlivým kódom kliknutím na odkaz môže viesť k sfalšovaniu používateľského rozhrania

Popis: Pri spracovávaní výziev služby FaceTime dochádzalo k problému s falšovaním. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2017-2453: xisigr z tímu Xuanwu Lab spoločnosti Tencent (tencent.com)

Čítačka Safari

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Povolenie funkcie čítačky Safari na webovej stránke so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k viacerým problémom s overovaním, ktoré boli vyriešené vylepšením čistenia vstupu.

CVE-2017-2393: Erling Ellingsen

SafariViewController

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Keď používateľ vymaže cache prehliadača Safari, stav cache sa nesynchronizuje správne medzi Safari a objektom SafariViewController

Popis: Dochádzalo k problému pri vymazávaní informácií cache Safari z objektu SafariViewController. Tento problém bol vyriešený vylepšením spracovania stavu cache.

CVE-2017-2400: Abhinav Bansal zo spoločnosti Zscaler, Inc.

Profily izolovaného priestoru

K dispozícii pre: iPhone 5 a novší, iPad (4. generácia a novšia) a iPod touch (6. generácia)

Dopad: Apka so škodlivým kódom môže byť schopná získať prístup k záznamu prihláseného používateľa v iCloude

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený pridaním ďalších obmedzení izolovaného priestoru pre apky od iných výrobcov.

CVE-2017-6976: George Dan (@theninjaprawn)

Zabezpečenie

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Overenie prázdnych podpisov pomocou funkcie SecKeyRawVerify() môže byť neočakávane úspešné

Popis: Dochádzalo k problému s overovaním volaní kryptografického rozhrania API. Tento problém bol vyriešený vylepšením overovania parametrov.

CVE-2017-2423: Anonymný výskumník

Zabezpečenie

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami používateľa root

Popis: Dochádzalo k problému s pretečením medzipamäte, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2017-2451: Alex Radocea zo spoločnosti Longterm Security, Inc.

Zabezpečenie

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie certifikátu x509 so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri analýze certifikátov dochádzalo k problému súvisiacemu s poškodením pamäte. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2017-2485: Aleksandar Nikolic zo spoločnosti Cisco Talos

Siri

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Siri môže zobraziť obsah textovej správy, keď je zariadenie zamknuté

Popis: Dochádzalo k problému s nedostatočným zamykaním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2017-2452: Hunter Byrnes

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Potiahnutie odkazu so škodlivým kódom môže viesť k sfalšovaniu záložky alebo spusteniu ľubovoľného kódu

Popis: Pri vytváraní záložiek dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2017-2378: xisigr z tímu Xuanwu Lab spoločnosti Tencent (tencent.com)

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2017-2486: redrain z tímu light4freedom

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neoprávnenému získaniu dát s rôznym pôvodom

Popis: Dochádzalo k problému súvisiacemu s prístupom k prototypu, ktorý bol vyriešený vylepšením spracovania výnimiek.

CVE-2017-2386: André Bargull

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením overovania vstupu.

CVE-2017-2394: Apple

CVE-2017-2396: Apple

CVE-2016-9642: Gustavo Grieco

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2017-2395: Apple

CVE-2017-2454: Ivan Fratric z tímu Google Project Zero, Zheng Huang z tímu Baidu Security Lab v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2017-2455: Ivan Fratric z tímu Google Project Zero

CVE-2017-2457: lokihardt z tímu Google Project Zero

CVE-2017-2459: Ivan Fratric z tímu Google Project Zero

CVE-2017-2460: Ivan Fratric z tímu Google Project Zero

CVE-2017-2464: Jeonghoon Shin, natashenka z tímu Google Project Zero

CVE-2017-2465: Zheng Huang a Wei Yuan z tímu Security Lab spoločnosti Baidu

CVE-2017-2466: Ivan Fratric z tímu Google Project Zero

CVE-2017-2468: lokihardt z tímu Google Project Zero

CVE-2017-2469: lokihardt z tímu Google Project Zero

CVE-2017-2470: lokihardt z tímu Google Project Zero

CVE-2017-2476: Ivan Fratric z tímu Google Project Zero

CVE-2017-2481: 0011 v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2017-2415: Kai Kang z tímu Xuanwu Lab spoločnosti Tencent (tencent.com)

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k tomu, že sa neočakávane prestanú vynucovať zásady CSP (Content Security Policy)

Popis: V zásadách CSP (Content Security Policy) dochádzalo k problému s prístupom. Tento problém bol vyriešený vylepšením obmedzení prístupu.

CVE-2017-2419: Nicolai Grødum zo spoločnosti Cisco Systems

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k vysokej spotrebe pamäte

Popis: Dochádzalo k problému s nekontrolovanou spotrebou zdrojov, ktorý bol vyriešený vylepšením spracovania regulárnych výrazov.

CVE-2016-9643: Gustavo Grieco

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Pri spracovávaní shaderov OpenGL dochádzalo k problému s únikom informácií. Tento problém bol vyriešený vylepšením správy pamäte.

CVE-2017-2424: Paul Thomson (použitím nástroja GLFuzz) zo skupiny Multicore Programming Group, Kráľovská univerzita v Londýne

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2433: Apple

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neoprávnenému získaniu dát s rôznym pôvodom

Popis: Pri spracovávaní načítavania stránok dochádzalo k viacerým problémom s overovaním. Tieto problémy boli vyriešené vylepšením logiky.

CVE-2017-2364: lokihardt z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Webová stránka so škodlivým kódom môže spôsobiť neoprávnené získanie dát s rôznym pôvodom

Popis: Pri spracovávaní načítania stránok dochádzalo k problému s overovaním. Tieto problémy boli vyriešené vylepšením logiky.

CVE-2017-2367: lokihardt z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Pri spracovávaní objektov rámcov dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2017-2445: lokihardt z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Pri spracovávaní funkcií striktného režimu dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2017-2446: natashenka z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k úniku informácií používateľa

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2017-2447: natashenka z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2017-2463: Kai Kang (4B5F5F4B) z tímu Xuanwu Lab spoločnosti Tencent (tencent.com) v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2017-2471: Ivan Fratric z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Pri spracovávaní rámcov dochádzalo k problému s logikou. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2017-2475: lokihardt z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neoprávnenému získaniu dát s rôznym pôvodom

Popis: Pri spracovávaní prvkov dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania.

CVE-2017-2479: lokihardt z tímu Google Project Zero

WebKit

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neoprávnenému získaniu dát s rôznym pôvodom

Popis: Pri spracovávaní prvkov dochádzalo k problému s overovaním. Tento problém bol vyriešený vylepšením overovania.

CVE-2017-2480: lokihardt z tímu Google Project Zero

CVE-2017-2493: lokihardt z tímu Google Project Zero

JavaScriptové väzby vo WebKite

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neoprávnenému získaniu dát s rôznym pôvodom

Popis: Pri spracovávaní načítavania stránok dochádzalo k viacerým problémom s overovaním. Tieto problémy boli vyriešené vylepšením logiky.

CVE-2017-2442: lokihardt z tímu Google Project Zero

WebKit Web Inspector

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Zatvorenie okna v okamihu, keď je pozastavené v ladiacom programe, môže viesť k neočakávanému ukončeniu apky

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2377: Vicki Pfau

WebKit Web Inspector

K dispozícii pre: iPhone 5 a novší, iPad 4. generácie a novší, iPod touch 6. generácie a novší

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2017-2405: Apple

Ďalšie poďakovanie

XNU

Poďakovanie za pomoc si zaslúži Lufeng Li z tímu Qihoo 360 Vulcan.

WebKit

Poďakovanie za pomoc si zaslúži Yosuke HASEGAWA zo spoločnosti Secure Sky Technology Inc.

Safari

Poďakovanie za pomoc si zaslúži Flyin9 (ZhenHui Lee).

Nastavenia

Poďakovanie za pomoc si zaslúžia Adi Sharabani a Yair Amit zo spoločnosti Skycure.