Obsah zabezpečenia v systémoch iOS 17.1 a iPadOS 17.1

V tomto dokumente sa opisuje obsah zabezpečenia v systémoch iOS 17.1 a iPadOS 17.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke s vydaniami zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

iOS 17.1 a iPadOS 17.1

Dátum vydania: 25. októbra 2023

Automation

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dosah: Apka s oprávneniami používateľa root môže byť schopná získať prístup k súkromným informáciám

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2023-42952: Zhipeng Huo (@R3dF09) z tímu Tencent Security Xuanwu Lab (xlab.tencent.com)

Dátum pridania záznamu: 16. februára 2024

Contacts

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2023-41072: Wojciech Regula z tímu SecuRing (wojciechregula.blog) a Csaba Fitzl (@theevilbit) z tímu Offensive Security

CVE-2023-42857: Noah Roskin-Frazee a Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Dopad: Apka môže byť schopná spôsobiť odopretie služby

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-40449: Tomi Tokics (@tomitokics) z tímu iTomsn0w

Core Recents

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským údajom

Popis: Tento problém bol vyriešený sanitizáciou protokolovania

CVE-2023-42823

Dátum pridania záznamu: 16. februára 2024

FairPlay

Dosah: Apka môže byť schopná získať oprávnenia vyššej úrovne

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14) z tímu STAR Labs SG Pte. Ltd.

Dátum pridania záznamu: 16. februára 2024

Find My

Dopad: Apka môže byť schopná čítať citlivé informácie o polohe

Popis: Tento problém bol vyriešený vylepšením spracovania vyrovnávacích pamätí.

CVE-2023-40413: Adam M.

Find My

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s ochranou súkromia, ktorý bol vyriešený vylepšením spracovania súborov.

CVE-2023-42834: Csaba Fitzl (@theevilbit) z tímu Offensive Security

Dátum pridania záznamu: 16. februára 2024

Game Center

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2023-42953: Michael (Biscuit) Thomas – @biscuit@social.lol

Dátum pridania záznamu: 16. februára 2024

ImageIO

Dopad: Spracovanie obrázka môže mať za následok odhalenie operačnej pamäte

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-40416: JZ

ImageIO

Dopad: Spracovanie obrázka so škodlivým kódom môže viesť k poškodeniu haldy

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2023-42848: JZ

Dátum pridania záznamu: 16. februára 2024

IOTextEncryptionFamily

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-40423: Anonymný výskumník

Kernel

Dopad: Útočník, ktorý už dosiahol spustenie kódu v režime jadra, môže byť schopný obísť bezpečnostné opatrenia v pamäti jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-42849: Linus Henze z tímu Pinauten GmbH (pinauten.de)

libc

Dopad: Spracovanie škodlivého vstupu môže mať za následok spustenie ľubovoľného kódu v apkách nainštalovaných používateľom

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-40446: inooo

Dátum pridania záznamu: 3. novembra 2023

libxpc

Dopad: Apka so škodlivým kódom môže byť schopná získať oprávnenia používateľa root

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2023-42942: Mickey Jin (@patch1t)

Dátum pridania záznamu: 16. februára 2024

Mail Drafts

Dopad: Funkcia Skryť môj email sa môže neočakávane deaktivovať

Popis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Dopad: Zariadenie možno pasívne sledovať podľa jeho MAC adresy vo Wi-Fi sieti

Popis: Tento problém bol vyriešený odstránením nedostatočne zabezpečeného kódu.

CVE-2023-42846: Talal Haj Bakry a Tommy Mysk z tímu Mysk Inc. @mysk_co

Passkeys

Dopad: Útočník môže byť schopný bez oprávnenia získať prístup k prihlasovacím kľúčom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2023-42847: Anonymný výskumník

Photos

Dopad: Fotky v albume so skrytými fotkami môže byť možné zobraziť bez overenia

Popis: Dochádzalo k problému s overovaním, ktorý bol vyriešený vylepšením správy stavu.

CVE-2023-42845: Bistrit Dahal

Dátum aktualizovania záznamu: 16. februára 2024

Pro Res

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu a Guang Gong z tímu 360 Vulnerability Research Institute

Pro Res

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2023-42873: Mingxuan Yang (@PPPF00L), happybabywu a Guang Gong z tímu 360 Vulnerability Research Institute

Dátum pridania záznamu: 16. februára 2024

Safari

Dosah: Používateľ môže mať problém s vymazaním položiek histórie prehliadania

Popis: Tento problém bol vyriešený vylepšením spracovania vyrovnávacích pamätí.

CVE-2023-42951: Adis Alic

Dátum pridania záznamu: 16. februára 2024

Sandbox

Dopad: Útočník môže byť schopný získať prístup k pripojeným sieťovým zväzkom pripojeným v domovskom adresári

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Dátum pridania záznamu: 16. februára 2024

Sandbox

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Dátum pridania záznamu: 16. februára 2024

Setup Assistant

Dopad: Útočník s fyzickým prístupom môže byť schopný bez zobrazenia upozornenia obnoviť Apple ID na vymazanom zariadení

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2023-42855: Sam Lakmaker

Dátum pridania záznamu: 16. februára 2024

Share Sheet

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula z tímu SecuRing (wojciechregula.blog) a Cristian Dinca (Colegiul Național de Informatică Tudor Vianu, Rumunsko)

Dátum pridania záznamu: 16. februára 2024

Siri

Dopad: Útočník s fyzickým prístupom môže byť schopný získať prostredníctvom Siri prístup k citlivým údajom používateľa

Popis: Tento problém bol vyriešený obmedzením možností dostupných na zamknutom zariadení.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Dátum aktualizovania záznamu: 16. februára 2024

Siri

Dopad: Apka môže byť schopná spôsobiť únik citlivých používateľských informácií

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2023-42946

Dátum pridania záznamu: 16. februára 2024

Status Bar

Dopad: Môže sa stať, že zariadenie trvale nebude možné zamknúť

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania používateľského rozhrania.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, anonymný výskumník, Lorenzo Cavallaro a Harry Lewandowski

Weather

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s ochranou osobných údajov, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2023-41254: Cristian Dinca (Colegiul Național de Informatică Tudor Vianu, Rumunsko)

WebKit

Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성 (Junsung Lee) z tímu Cross Republic

WebKit

Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성 (Junsung Lee)

WebKit

Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) a Vitor Pedreira (@0xvhp_) z tímu Agile Information Security

Dátum aktualizovania záznamu: 16. februára 2024

WebKit

Dosah: Návšteva webovej stránky so škodlivým kódom môže viesť k sfalšovaniu lišty s adresou

Opis: Dochádzalo k problému s nekonzistentným používateľským rozhraním, ktorý bol vyriešený vylepšením správy stavu.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Dátum pridania záznamu: 16. februára 2024

WebKit

Dopad: V Hlásení o súkromí v apkách sa môže neočakávane uložiť súkromná aktivita prehliadania používateľa

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College Of Technology v Bhópale v Indii

Dátum pridania záznamu: 16. februára 2024

WebKit Process Model

Dopad: Spracovanie webového obsahu môže viesť k odopretiu služby

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성 (Junsung Lee)

Ďalšie poďakovanie

libarchive

Poďakovanie za pomoc si zaslúži Bahaa Naamneh.

libxml2

Poďakovanie za pomoc si zaslúžia OSS-Fuzz a Ned Williamson (Google Project Zero).

Power Manager

Poďakovanie za pomoc si zaslúži Xia0o0o0o (@Nyaaaaa_ovo) z Kalifornskej univerzity v San Diegu.

ReplayKit

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College Of Technology v Bhópale.

Dátum pridania záznamu: 16. februára 2024

VoiceOver

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College Of Technology v Bhópale v Indii.

WebKit

Poďakovanie za pomoc si zaslúži anonymný výskumník.

WebKit

Poďakovanie za pomoc si zaslúžia Gishan Don Ranasinghe a anonymný výskumník.

Dátum pridania záznamu: 16. februára 2024

WidgetKit

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College Of Technology v Bhópale v Indii.

Dátum pridania záznamu: 16. februára 2024

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: 27. februára 2024