Obsah zabezpečenia v systéme iOS 12.1

V tomto dokumente sa popisuje obsah zabezpečenia v systéme iOS 12.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia Apple.

Ďalšie informácie o zabezpečení nájdete na stránke týkajúcej sa zabezpečenia produktov Apple. Komunikáciu so spoločnosťou Apple môžete zašifrovať pomocou kľúča PGP zabezpečenia produktov Apple.

Ak je to možné, dokumenty spoločnosti Apple týkajúce sa zabezpečenia odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

iOS 12.1

Vydané 30. októbra 2018

AppleAVD

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie videa so škodlivým kódom cez FaceTime môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4384: Natalie Silvanovich z tímu Google Project Zero

Kontakty

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie súboru VCF so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením kontroly rozsahu.

CVE-2018-4365: Anonymný výskumník

CoreCrypto

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Útočník môže byť schopný zneužiť nedostatočne zabezpečené miesto v Miller-Rabinovom teste prvočíselnosti a nesprávne identifikovať prvočísla

Popis: V spôsobe určovania prvočísel dochádzalo k problému. Tento problém bol vyriešený používaním pseudonáhodných základov pri testovaní prvočísel.

CVE-2018-4398: Martin Albrecht, Jake Massimo a Kenny Paterson z univerzity Royal Holloway, University of London, a Juraj Somorovsky z Porúrskej univerzity v Bochume

FaceTime

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Vzdialený útočník môže byť schopný spôsobiť únik pamäte

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4366: Natalie Silvanovich z tímu Google Project Zero

FaceTime

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Vzdialený útočník môže byť schopný inicializovať hovor cez FaceTime a spôsobiť tak spustenie ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4367: Natalie Silvanovich z tímu Google Project Zero

Grafický ovládač

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Vzdialený útočník môže byť schopný inicializovať hovor cez FaceTime a spôsobiť tak spustenie ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4384: Natalie Silvanovich z tímu Google Project Zero

ICU

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie reťazca so škodlivým kódom môže viesť k poškodeniu haldy

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4394: Anonymný výskumník

IOHIDFamily

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4427: Tím Pangu

IPSec

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Aplikácia môže byť schopná získať oprávnenia vyššej úrovne

Popis: Dochádzalo k problému s čítaním dát v zakázaných oblastiach, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4371: Tim Michaud (@TimGMichaud) z tímu Leviathan Security Group

Jadro

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2018-4420: Mohamed Ghannam (@_simo36)

Jadro

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Aplikácia môže byť schopná čítať vyhradenú pamäť

Popis: Dochádzalo k problému súvisiacemu s inicializáciou pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4413: Juwei Lin (@panicaII) z tímu TrendMicro Mobile Security Team

Jadro

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Aplikácia môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2018-4419: Mohamed Ghannam (@_simo36)

Správy

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie textovej správy so škodlivým kódom môže viesť k sfalšovaniu používateľského rozhrania

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4390: Rayyan Bijoora (@Bijoora) zo siete The City School, PAF Chapter

CVE-2018-4391: Rayyan Bijoora (@Bijoora) zo siete The City School, PAF Chapter

NetworkExtension

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Pripojenie k serveru VPN môže spôsobiť únik dotazov DNS na proxy server DNS

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4369: Anonymný výskumník

Poznámky

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Lokálny útočník môže byť schopný zdieľať položky zo zamknutej plochy

Popis: Problém so zamknutou plochou umožňoval získať prístup k funkcii zdieľania na zamknutom zariadení. Tento problém bol vyriešený obmedzením možností dostupných na zamknutom zariadení.

CVE-2018-4388: videosdebarraquito

Čítačka Safari

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Povolenie funkcie čítačky Safari na webovej stránke so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením overovania.

CVE-2018-4374: Ryan Pickren (ryanpickren.com)

Čítačka Safari

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Povolenie funkcie čítačky Safari na webovej stránke so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: V Safari dochádzalo k problému súvisiacemu so skriptovaním medzi lokalitami. Tento problém bol vyriešený vylepšením overovania URL adries.

CVE-2018-4377: Ryan Pickren (ryanpickren.com)

Zabezpečenie

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie podpísanej správy S/MIME so škodlivým kódom môže viesť k odmietnutiu služby

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením logiky.

CVE-2018-4400: Yukinobu Nagayasu zo spoločnosti LAC Co., Ltd.

VoiceOver

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Lokálny útočník môže byť schopný zobraziť fotky zo zamknutej plochy

Popis: Problém so zamknutou plochou umožňoval získať prístup k fotkám v zamknutom zariadení prostredníctvom funkcie Odpovedať správou. Tento problém bol vyriešený vylepšením správy stavu.

CVE-2018-4387: videosdebarraquito

WebKit

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2018-4385: Anonymný výskumník

WebKit

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2018-4372: HyungSeok Han, DongHyeon Oh a Sang Kil Cha zo spoločnosti KAIST Softsec Lab, Kórea

CVE-2018-4373: ngg, alippai, DirtYiCE, KT zo spoločnosti Tresorit v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4375: Yu Haiwan a Wu Hongjun z Technologickej univerzity v Nanyangu v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4376: 010 v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2018-4382: lokihardt z tímu Google Project Zero

CVE-2018-4386: lokihardt z tímu Google Project Zero

CVE-2018-4392: zhunki z tímu 360 ESG Codesafe Team

CVE-2018-4416: lokihardt z tímu Google Project Zero

WebKit

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Webová stránka so škodlivým kódom môže byť schopná spôsobiť odmietnutie služby

Popis: Dochádzalo k problému súvisiacemu s vyčerpaním prostriedkov, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2018-4409: Sabri Haddouche (@pwnsdx) zo spoločnosti Wire Swiss GmbH

WebKit

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu kódu

Popis: Dochádzalo k problému súvisiacemu s poškodením pamäte, ktorý bol vyriešený vylepšením overovania.

CVE-2018-4378: Anonymný výskumník, zhunki z tímu 360 ESG Codesafe Team

Wi-Fi

Dostupné pre: iPhone 5s a novší, iPad Air a novší a iPod touch (6. generácia)

Dopad: Útočník s oprávneniami môže byť schopný vykonať útok zameraný na odmietnutie služby

Popis: Dochádzalo k problému súvisiacemu s odmietnutím služby, ktorý bol vyriešený vylepšením overovania.

CVE-2018-4368: Milan Stute a Alex Mariotto z tímu Secure Mobile Networking Lab na Technickej univerzite v Darmstadte

Ďalšie poďakovanie

Podpisovanie certifikátov

Poďakovanie sa pomoc si zaslúži Yiğit Can YILMAZ (@yilmazcanyigit).

CommonCrypto

Poďakovanie za pomoc si zaslúži anonymný výskumník.

iBooks

Poďakovanie za pomoc si zaslúži Sem Voigtländer z univerzity Fontys Hogeschool ICT.

Zabezpečenie

Poďakovanie za pomoci si zaslúži Marinos Bernitsas zo spoločnosti Parachute.

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Používanie internetu má svoje riziká. Ak potrebujete ďalšie informácie, obráťte sa na dodávateľa. Ďalšie názvy spoločností a produktov môžu byť ochrannými známkami príslušných vlastníkov.

Dátum zverejnenia: