Om säkerhetsinnehållet i iOS 12.1.3

Det här dokumentet beskriver säkerhetsinnehållet i iOS 12.1.3.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

iOS 12.1.3

AppleKeyStore

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: En process i sandlådeläge kan kringgå sandlådebegränsningarna

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6235: Brandon Azad

Bluetooth

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: En angripare i en privilegierad nätverksposition kan köra opålitlig kod

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2019-6200: en anonym forskare

Core Media

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-6202: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6221: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CoreAnimation

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett program med skadligt innehåll utan rättigheter kan läsa det begränsade minnet

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades med förbättrad kontroll av gränserna.

CVE-2019-6231: Zhuo Liang på Qihoo 360 Nirvan Team

CoreAnimation

Tillgängligt för: iPhone 5s och senare, iPad Air och senare samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6230: Proteas, Shrek_wzw och Zhuo Liang på Qihoo 360 Nirvan Team

FaceTime

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: En fjärrangripare kan påbörja ett FaceTime-samtal som orsakar körning av opålitlig kod

Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.

CVE-2019-6224: natashenka of Google Project Zero

IOKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan bryta sig ut från sitt begränsade läge

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-6214: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan öka behörigheter

Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.

CVE-2019-6225: Brandon Azad på Google Project Zero, Qixun Zhao på Qihoo 360 Vulcan Team

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6210: Ned Williamson på Google

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett minnesfel åtgärdades med förbättrad låsstatuskontroll.

CVE-2019-6205: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett buffertspill åtgärdades med förbättrad gränskontroll.

CVE-2019-6213: Ian Beer på Google Project Zero

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan ta reda på schemat för kärnminnet

Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Problemet har åtgärdats genom förbättrad indatavalidering.

CVE-2019-6209: Brandon Azad på Google Project Zero

Kernel

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan leda till oväntade förändringar av minnet som delas mellan processer

Beskrivning: Ett problem med minnesinitiering åtgärdades genom förbättrad minneshantering.

CVE-2019-6208: Jann Horn på Google Project Zero

Tangentbord

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Automatisk ifyllnad av lösenord kan fylla i lösenord efter att de tömts manuellt

Beskrivning: Det förekom ett problem med att automatisk ifyllnad återupptogs efter att det inaktiverats. Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2019-6206: Sergey Pershenkov

libxpc

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Ett skadligt program kan köra opålitlig kod med kernelbehörighet

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

CVE-2019-6218: Ian Beer på Google Project Zero

Bearbetning av naturligt språk

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.

CVE-2019-6219: Authier Thomas

Safari-läsaren

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till en attack med skriptkörning över flera sajter

Beskrivning: Ett problem med skriptkörning över flera webbplatser hittades i Safari. Problemet har åtgärdats genom förbättrad URL-validering.

CVE-2019-6228: Ryan Pickren (ryanpickren.com)

SQLite

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: En skadligt utformad SQL-fråga kan ge upphov till körning av godtycklig kod

Beskrivning: Flera minnesfel åtgärdades med hjälp av förbättrad indatavalidering.

CVE-2018-20346: Tencent Blade Team

CVE-2018-20505: Tencent Blade Team

CVE-2018-20506: Tencent Blade Team

WebKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.

CVE-2019-6227: Qixun Zhao på Qihoo 360 Vulcan Team

CVE-2019-6233: G. Geshev från MWR Labs i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6234: G. Geshev från MWR Labs i samarbete med Trend Micros Zero Day Initiative

WebKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad validering.

CVE-2019-6229: Ryan Pickren (ryanpickren.com)

WebKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett problem med sammanblandning av typer åtgärdades genom förbättrad minneshantering.

CVE-2019-6215: lokihardt på Google Project Zero

WebKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.

CVE-2019-6212: Mike Zhang från The Pangu team, Wen Xu på SSLab vid Georgia Tech

CVE-2019-6216: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative

CVE-2019-6217: Fluoroacetate i samarbete med Trend Micros Zero Day Initiative, Proteas, Shrek_wzw och Zhuo Liang på Qihoo 360 Nirvan Team

CVE-2019-6226: Apple

WebKit

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan avslöja känslig användarinformation

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-8570: James Lee (@Windowsrcer) på S2SWWW.com

WebRTC

Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen

Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett minnesfel åtgärdades genom förbättrad tillståndshantering.

CVE-2019-6211: Georgi Geshev (@munmap), Fabi Beterke (@pwnfl4k3s) och Rob Miller (@trotmaster99) på MWR Labs (@mwrlabs) i samarbete med Trend Micros Zero Day Initiative

Ytterligare tack

mDNSResponder

Vi vill tacka Fatemah Alharbi på University of California, Riverside (UCR) och Taibah University (TU), Feng Qian på University of Minnesota – Twin City, Jie Chang på LinkSure Network, Nael Abu-Ghazaleh på University of California, Riverside (UCR), Yuchen Zhou på Northeastern University, Zhiyun Qian på University of California, Riverside (UCR) för deras hjälp.

Safari-läsaren

Vi vill tacka Ryan Pickren (ryanpickren.com) för hjälpen.

WebKit

Vi vill tacka James Lee (@Windowsrcer) på Kryptos Logic för hans hjälp.