Aktualizácie zabezpečenia spoločnosti Apple
Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke s vydaniami zabezpečenia Apple.
Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.
Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.
iOS 16.6 a iPadOS 16.6
Dátum vydania: 24. júla 2023
Accessibility
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná čítať citlivé informácie o polohe
Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.
CVE-2023-40442: Nick Brook
Dátum pridania záznamu: 31. októbra 2023
Accounts
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná čítať citlivé informácie o polohe
Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.
CVE-2023-40439: Kirin (@Pwnrin)
Dátum pridania záznamu: 31. októbra 2023
Apple Neural Engine
Dostupné pre zariadenia s modulom Apple Neural Engine: iPhone 8 a novší, iPad Pro (3. generácia a novšia), iPad Air (3. generácia a novšia) a iPad mini (5. generácia)
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2023-34425: pattern-f (@pattern_F_, Ant Security Light-Year Lab)
CVE-2023-38136: Mohamed GHANNAM (@_simo36)
CVE-2023-38580: Mohamed GHANNAM (@_simo36)
Dátum aktualizovania záznamu: 31. októbra 2023
CFNetwork
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná čítať citlivé informácie o polohe
Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.
CVE-2023-40392: Wojciech Regula z tímu SecuRing (wojciechregula.blog)
Dátum pridania záznamu: 31. októbra 2023
Find My
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná čítať citlivé informácie o polohe
Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.
CVE-2023-40437: Kirin (@Pwnrin)a Wojciech Regula z tímu SecuRing (wojciechregula.blog)
Dátum pridania záznamu: 31. októbra 2023
Find My
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná čítať citlivé informácie o polohe
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.
CVE-2023-32416: Wojciech Regula z tímu SecuRing (wojciechregula.blog)
ImageIO
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k odmietnutiu služby
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2022-3970: Nájdené programom OSS-Fuzz
Dátum pridania záznamu: 31. októbra 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Vzdialený používateľ môže byť schopný spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra
Popis: Dochádzalo k problému s pretečením buffera, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2023-38590: Zweig (Kunlun Lab)
Dátum pridania záznamu: 27. júla 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.
CVE-2023-38598: Mohamed GHANNAM (@_simo36)
Dátum pridania záznamu: 27. júla 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému s pretečením celočíselných hodnôt, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2023-36495: 香农的三蹦子 (Pangu Lab)
Dátum pridania záznamu: 27. júla 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému so zápisom dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.
CVE-2023-38604: Anonymný výskumník
Dátum pridania záznamu: 27. júla 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.
CVE-2023-32734: Pan ZhenPeng (@Peterpan0927) z tímu STAR Labs SG Pte. Ltd.
CVE-2023-32441: Peter Nguyễn Vũ Hoàng (@peternguyen14) z tímu STAR Labs SG Pte. Ltd.
CVE-2023-38261: Anonymný výskumník
CVE-2023-38424: Tím Certik Skyfall
CVE-2023-38425: Tím Certik Skyfall
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná upravovať citlivé informácie o stave jadra. Spoločnosť Apple si je vedomá správy o tom, že tento problém mohol byť aktívne zneužívaný vo verziách systému iOS vydaných pred verziou iOS 15.7.1.
Popis: Tento problém bol vyriešený vylepšením správy stavu.
CVE-2023-38606: Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin (@kucher1n), Leonid Bezvershenko (@bzvr_), a Boris Larin (@oct0xor) zo spoločnosti Kaspersky
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra
Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.
CVE-2023-32381: Anonymný výskumník
CVE-2023-32433: Zweig (Kunlun Lab)
CVE-2023-35993: Kaitao Xie a Xiaolong Bai (Alibaba Group)
CVE-2023-41995: Tím Certik Skyfall, pattern-f (@pattern_F_) z tímu Ant Security Light-Year Lab
CVE-2023-38598: Mohamed GHANNAM (@_simo36)
Dátum aktualizovania záznamu: 31. októbra 2023
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Užívateľ môže byť schopný zvýšiť úroveň oprávnení
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2023-38410: Anonymný výskumník
Kernel
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dosah: Vzdialený používateľ môže byť schopný spôsobiť odopretie služby
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2023-38603: Zweig z tímu Kunlun Lab
libpcap
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Vzdialený používateľ môže spôsobiť neočakávané ukončenie apky alebo spustenie ľubovoľného kódu
Popis: Tento problém bol vyriešený vylepšením kontrol.
CVE-2023-40400: Sei K.
Dátum pridania záznamu: 31. októbra 2023
libxpc
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná získať oprávnenia používateľa root
Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením overovania.
CVE-2023-38565: Zhipeng Huo (@R3dF09) z tímu Tencent Security Xuanwu Lab (xlab.tencent.com)
libxpc
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná spôsobiť odopretie služby
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.
CVE-2023-38593: Noah Roskin-Frazee
Logging
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením overovania premenných prostredia.
CVE-2023-40394: Wojciech Regula z tímu SecuRing (wojciechregula.blog)
Dátum pridania záznamu: 31. októbra 2023
NSURLSession
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná pracovať mimo svojho sandboxu
Popis: Tento problém bol vyriešený vylepšením protokolu spracovania súborov.
CVE-2023-32437: Thijs Alkemade z tímu Computest Sector 7
Weather
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Apka môže byť schopná určiť aktuálnu polohu používateľa
Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.
CVE-2023-38605: Adam M.
Dátum pridania záznamu: 31. októbra 2023
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Vzdialený útočník môže byť schopný spôsobiť spustenie ľubovoľného JavaScript kódu
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 257824
CVE-2023-40397: Johan Carlsson (joaxcar)
Dátum pridania záznamu: 31. októbra 2023
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Webová stránka môže byť schopná sledovať citlivé používateľské informácie
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.
WebKit Bugzilla: 257822
CVE-2023-38599: Hritvik Taneja, Jason Kim, Jie Jeff Xu, Stephan van Schaik, Daniel Genkin a Yuval Yarom
Dátum pridania záznamu: 27. júla 2023
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie dokumentu môže viesť k útoku využívajúcemu skriptovanie medzi lokalitami (XSS)
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 257299
CVE-2023-32445: Johan Carlsson (joaxcar)
Dátum pridania záznamu: 27. júla 2023
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením obmedzení.
WebKit Bugzilla: 257331
CVE-2023-38592: Narendra Bhati (twitter.com/imnarendrabhati) zo spoločnosti Suma Soft Pvt. Ltd v Pune – India, Valentino Dalla Valle, Pedro Bernardo, Marco Squarcina a Lorenzo Veronese (TU Wien)
Dátum pridania záznamu: 27. júla 2023
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Webová stránka môže byť schopná obísť mechanizmus SOP (Same Origin Policy)
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 256549
CVE-2023-38572: Narendra Bhati (twitter.com/imnarendrabhati) zo spoločnosti Suma Soft Pvt. Ltd, Pune – India
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 256865
CVE-2023-38594: Yuhao Hu
WebKit Bugzilla: 256573
CVE-2023-38595: Anonymný výskumník, Jiming Wang a Jikai Ren
WebKit Bugzilla: 257387
CVE-2023-38600: Anonymný výskumník v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.
WebKit Bugzilla: 258058
CVE-2023-38611: Francisco Alonso (@revskills)
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu. Spoločnosť Apple vie o hlásení o tom, že tento problém mohol byť aktívne zneužitý.
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 259231
CVE-2023-37450: Anonymný výskumník
Tento problém bol prvýkrát vyriešený v rýchlej bezpečnostnej oprave iOS 16.5.1 (c) a iPadOS 16.5.1 (c).
WebKit
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu
Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.
WebKit Bugzilla: 257684
CVE-2023-42866: Francisco Alonso (@revskills) a Junsung Lee
Dátum pridania záznamu: 21. decembra 2023
WebKit Process Model
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 258100
CVE-2023-38597: 이준성 (Junsung Lee) z tímu Cross Republic
WebKit Web Inspector
Dostupné pre: iPhone 8 a novší, iPad Pro (všetky modely), iPad Air (3. generácia) a novší, iPad (5. generácia) a novší a iPad mini (5. generácia) a novší
Dopad: Spracovanie webového obsahu môže viesť k odhaleniu citlivých informácií
Popis: Tento problém bol vyriešený vylepšením kontrol.
WebKit Bugzilla: 256932
CVE-2023-38133: YeongHyeon Choi (@hyeon101010)
Ďalšie poďakovanie
Poďakovanie za pomoc si zaslúži Parvez Anwar.
Screenshots
Poďakovanie za pomoc si zaslúžia Dametto Luca, Casati Jacopo, Eric Williams (@eric5310pub) a Yannik Bloscheck (yannikbloscheck.com).
Dátum pridania záznamu: 31. októbra 2023
WebKit
Poďakovanie za pomoc si zaslúži Narendra Bhati (@imnarendrabhati) zo spoločnosti Suma Soft Pvt. Ltd. v Indii.
Dátum pridania záznamu: 31. októbra 2023
WebKit
Poďakovanie za pomoc si zaslúži Narendra Bhati (twitter.com/imnarendrabhati) zo spoločnosti Suma Soft Pvt. Ltd v Pune – India.
Dátum pridania záznamu: 27. júla 2023
WebRTC
Poďakovanie za pomoc si zaslúži anonymný výskumník.