Obsah zabezpečenia v prehliadači Safari 11.1

V tomto dokumente sa popisuje obsah zabezpečenia v prehliadači Safari 11.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Safari 11.1

Safari

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4102: Kai Zhao z bezpečnostného tímu 3H

CVE-2018-4116: @littlelailo, xisigr z tímu Xuanwu Lab spoločnosti Tencent (tencent.com)

Sťahovanie v Safari

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Pri anonymnom prehliadaní sa niektoré stiahnuté súbory neodstránili zo zoznamu stiahnutých súborov

Popis: Pri spracovávaní stiahnutých súborov v okne anonymného prezerania v Safari dochádzalo k problému s únikom informácií. Tento problém bol vyriešený dodatočným overovaním.

CVE-2018-4186: Anonymný výskumník

Automatické vypĺňanie prihlasovacích údajov v Safari

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Webová stránka so škodlivým kódom môže byť schopná získať automaticky vyplnené údaje v Safari aj bez priamej interakcie s používateľom.

Popis: V Safari sa údaje automaticky vypĺňali bez toho, aby došlo k priamej interakcii s používateľom. Tento problém bol vyriešený vylepšením heuristiky automatického vypĺňania.

CVE-2018-4137

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4101: Yuan Deng z tímu Ant-financial Light-Year Security Lab

CVE-2018-4114: Nájdené programom OSS-Fuzz

CVE-2018-4118: Jun Kokatsu (@shhnjk)

CVE-2018-4119: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4120: Hanming Zhang (@4shitak4) z tímu Qihoo 360 Vulcan

CVE-2018-4121: natashenka z tímu Google Project Zero

CVE-2018-4122: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4125: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4127: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4128: Zach Markley

CVE-2018-4129: likemeng z tímu Baidu Security Lab v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4130: Omair v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4161: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4162: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4163: WanderingGlitch z projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4165: Hanming Zhang (@4shitak4) z tímu Qihoo 360 Vulcan

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k útoku využívajúcemu skriptovanie medzi lokalitami (XSS)

Popis: V Safari dochádzalo k problému súvisiacemu so skriptovaním medzi lokalitami. Tento problém bol vyriešený vylepšením overovania URL adries.

CVE-2018-4133: Anton Lopanitsyn zo spoločnosti Wallarm, Linus Särud zo spoločnosti Detectify (detectify.com), Yuji Tounai zo spoločnosti NTT Communications Corporation

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia s typmi indexovania spôsobovala zlyhanie ASSERT

Popis: Pri spracovávaní funkcií v jadre JavaScriptu dochádzalo k problému s indexovaním polí. Tento problém bol vyriešený vylepšením kontrol..

CVE-2018-4113: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4146: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Webová stránka so škodlivým kódom môže spôsobiť neoprávnené získanie dát s rôznym pôvodom

Popis: V rozhraní API na načítanie dát dochádzalo k problému so zámenou pôvodu. Tento problém bol vyriešený vylepšením overovania vstupu.

CVE-2018-4117: Dvaja anonymní výskumníci

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4207: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4208: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4209: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia s typmi indexovania spôsobovala zlyhanie

Popis: Pri spracovávaní funkcií v jadre JavaScriptu dochádzalo k problému s indexovaním polí. Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4210: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4212: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Neočakávaná interakcia spôsobovala zlyhanie ASSERT

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2018-4213: Nájdené programom OSS-Fuzz

WebKit

Dostupné pre: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 a macOS High Sierra 10.13.4

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4145: Nájdené programom OSS-Fuzz

Ďalšie poďakovanie

WebKit

Poďakovanie za pomoc si zaslúži Johnny Nipper z tímu Tinder Security Team.