Obsah zabezpečenia v prehliadači Safari 13.1.2

V tomto dokumente sa popisuje obsah zabezpečenia v prehliadači Safari 13.1.2.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke Aktualizácie zabezpečenia spoločnosti Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

Safari 13.1.2

Safari

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9942: Anonymný výskumník, Rahul d Kankrale (servicenger.com), Rayyan Bijoora (@Bijoora) z The City School, PAF Chapter, Ruilin Yang z tímu Security Xuanwu Lab spoločnosti Tencent, YoKo Kho (@YoKoAcc) zo spoločnosti PT Telekomunikasi Indonesia (Persero) Tbk, Zhiyang Zeng (@Wester) z tímu OPPO ZIWU Security Lab

Sťahovanie v Safari

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Škodlivý útočník môže byť schopný zmeniť pôvod snímky sťahovaného súboru v režime čítačky Safari

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-9912: Nikhil Mittal (@c0d3G33k) z tímu Payatu Labs (payatu.com)

Automatické vypĺňanie prihlasovacích údajov v Safari

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Útočník so zlými úmyslami môže spôsobiť, že Safari navrhne heslo pre nesprávnu doménu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-9903: Nikhil Mittal (@c0d3G33k) z tímu Payatu Labs (payatu.com)

Čítačka Safari

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Problém v režime čítačky Safari môže umožniť vzdialenému útočníkovi obísť mechanizmus SOP (Same Origin Policy)

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.

CVE-2020-9911: Nikhil Mittal (@c0d3G33k) z tímu Payatu Labs (payatu.com)

WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie aplikácie alebo spustenie ľubovoľného kódu

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2020-9894: 0011 v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Spracovanie škodlivého webového obsahu môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: V zásadách CSP (Content Security Policy) dochádzalo k problému s prístupom. Tento problém bol vyriešený vylepšením obmedzení prístupu.

CVE-2020-9915: Ayoub AIT ELMOKHTAR zo spoločnosti Noon

WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Spracovanie webového obsahu so škodlivým kódom môže viesť k univerzálnemu skriptovaniu medzi lokalitami (XSS)

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9925: Anonymný výskumník

WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Vzdialený útočník môže byť schopný spôsobiť neočakávané ukončenie aplikácie alebo spustenie ľubovoľného kódu

Popis: Dochádzalo k problému súvisiacemu s použitím predtým uvoľnenej pamäte, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2020-9893: 0011 v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

CVE-2020-9895: Wen Xu z tímu SSLab na univerzite Georgia Tech

WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Útočník so zlými úmyslami s ľubovoľným prístupom na čítanie a zápis môže byť schopný obísť funkciu Pointer Authentication

Popis: Niekoľko problémov bolo vyriešených vylepšením logiky.

CVE-2020-9910: Samuel Groß z tímu Google Project Zero

Načítavanie stránok mechanizmom WebKit

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Útočník so zlými úmyslami môže byť schopný zamaskovať cieľ URL adresy

Popis: Dochádzalo k problému s kódovaním Unicode URL adries, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-9916: Rakesh Mane (@RakeshMane10)

WebKit Web Inspector

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Skopírovanie URL adresy z webového inšpektora môže viesť k nežiaducemu spusteniu príkazu

Popis: Vo webovom inšpektore dochádzalo k problému s vkladaním príkazov. Tento problém bol vyriešený vylepšením escapovania.

CVE-2020-9862: Ophir Lojkine (@lovasoa)

WebRTC

Dostupné pre: macOS Mojave a macOS High Sierra, zahrnuté v systéme macOS Catalina

Dosah: Útočník s oprávneniami v sieti môže byť schopný spôsobiť poškodenie haldy prostredníctvom škodlivého streamu SCTP

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením správy stavu.

CVE-2020-6514: natashenka z tímu Google Project Zero