Om säkerhetsinnehållet i iOS 11
Det här dokumentet beskriver säkerhetsinnehållet i iOS 11.
Om säkerhetsuppdateringar från Apple
Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga programkorrigeringar eller utgåvor är tillgängliga. De senaste uppdateringarna visas på sidan Säkerhetsuppdateringar från Apple.
Mer information om säkerhet finns på sidan om Apples produktsäkerhet. Du kan kryptera kommunikation med Apple genom att använda en PGP-nyckel från Apple Product Security.
Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.
iOS 11
802.1X
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare kan exploatera svagheter i TLS 1.0
Beskrivning: Ett protokollsäkerhetsproblem åtgärdades genom att aktivera TLS 1.1 och TLS 1.2.
CVE-2017-13832: Doug Wussler på Florida State University
PN-tjänst
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare i en behörig nätverksposition skulle kunna spåra en användare
Beskrivning: Det fanns ett integritetsproblem vid användningen av klienters certifikat. Problemet åtgärdades med ett reviderat protokoll.
CVE-2017-13863: FURIOUSMAC Team på United States Naval Academy
Bluetooth
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan få tillgång till begränsade filer
Beskrivning: Ett integritetsproblem förekom i hanteringen av kontaktkort. Problemet åtgärdades genom förbättrad tillståndshantering.
CVE-2017-7131: Dominik Conrads på Federal Office for Information Security, en anonym forskare, Anand Kathapurkar från Indien, Elvis (@elvisimprsntr)
CFNetwork
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med systembehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-13829: Niklas Baumstark och Samuel Gro tillsammans med Trend Micros Zero Day Initiative
CVE-2017-13833: Niklas Baumstark och Samuel Gro tillsammans med Trend Micros Zero Day Initiative
CFNetwork Proxies
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare i en behörig nätverksposition kan orsaka ett överbelastningsangrepp
Beskrivning: Flera problem med dos-angrepp åtgärdades genom förbättrad minneshantering.
CVE-2017-7083: Abhinav Bansal på Zscaler Inc.
CFString
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.
CVE-2017-13821: Australian Cyber Security Centre – Australian Signals Directorate
CoreAudio
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom uppdatering till Opus version 1.1.4.
CVE-2017-0381: V.E.O (@VYSEa) på Mobile Threat Research Team, Trend Micro
CoreText
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en typsnittsfil med skadligt innehåll kan leda till körning av opålitlig kod
Beskrivning: Ett problem med minnesförbrukningen åtgärdades genom förbättrad minneshantering.
CVE-2017-13825: Australian Cyber Security Centre – Australian Signals Directorate
Exchange ActiveSync
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare med behörig nätverksposition kan radera en enhet under en Exchange-kontoinställning
Beskrivning: Ett valideringsproblem förekom i AutoDiscover V1. Det åtgärdades genom att kräva TLS för AutoDiscover V1. AutoDiscover V2 stöds nu.
CVE-2017-7088: Ilya Nesterov, Maxim Goncharov
file
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Flera problem i file
Beskrivning: Flera problem åtgärdades genom att uppdatera till version 5.31.
CVE-2017-13815: upptäcktes av OSS-Fuzz
Typsnitt
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Rendering av opålitlig text kan leda till förfalskning
Beskrivning: Ett problem med inkonsekvent användargränssnitt åtgärdades med hjälp av förbättrad tillståndshantering.
CVE-2017-13828: Leonard Grey och Robert Sesek på Google Chrome
Heimdal
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare i en behörig nätverksposition kan imitera en tjänst
Beskrivning: Det fanns ett valideringsproblem i hanteringen av tjänstnamnet KDC-REP. Problemet har åtgärdats genom förbättrad validering.
CVE-2017-11103: Jeffrey Altman, Viktor Duchovni och Nico Williams
HFS
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med systembehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-13830: Sergej Schumilo på Ruhr-Universität Bochum
iBooks
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Tolkning av en iBooks-fil med skadligt innehåll kan leda till ett konstant dos-angrepp
Beskrivning: Flera problem med dos-angrepp åtgärdades genom förbättrad minneshantering.
CVE-2017-7072: Jędrzej Krysztofiak
ImageIO
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en bildfil med skadligt innehåll kan ge upphov till körning av opålitlig kod
Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.
CVE-2017-13814: Australian Cyber Security Centre – Australian Signals Directorate
ImageIO
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en bild med skadligt innehåll kan leda till ett dos-angrepp
Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.
CVE-2017-13831: Glen Carmichael
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-7114: Alex Plaskett på MWR InfoSecurity
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En lokal användare kan läsa kernelminne
Beskrivning: Det förekom ett problem med läsning utanför gränserna som ledde till att kernelminne avslöjades. Detta har åtgärdats genom förbättrad indatavalidering.
CVE-2017-13817: Maxime Villard (m00nbsd)
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.
CVE-2017-13818: Storbritanniens National Cyber Security Centre (NCSC)
CVE-2017-13836: Vlad Tsyrklevich
CVE-2017-13841: Vlad Tsyrklevich
CVE-2017-13840: Vlad Tsyrklevich
CVE-2017-13842: Vlad Tsyrklevich
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med kernelbehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-13843: en anonym forskare, en anonym forskare
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med systembehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-13854: shrek_wzw på Qihoo 360 Nirvan Team
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en felaktigt utformad mach binary-fil kan leda till körning av opålitlig kod
Beskrivning: Ett minnesfel åtgärdades genom förbättrad validering.
CVE-2017-13834: Maxime Villard (m00nbsd)
Kernel
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett skadligt program kan få reda på information om andra program och deras funktion på enheten.
Beskrivning: Ett program kunde utan begränsning få tillgång till information om nätverksaktivitet som hanteras av operativsystemet. Det här problemet åtgärdades genom att begränsa den information som var tillgänglig för tredjepartsprogram.
CVE-2017-13873: Xiaokuan Zhang och Yinqian Zhang på Ohio State University, Xueqiang Wang och XiaoFeng Wang på Indiana University Bloomington och Xiaolong Bai på Tsinghua University
Tangentbordsförslag
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Förslag från tangentbordets autokorrigering kan avslöja känslig information
Beskrivning: iOS-tangentbordet cachade oavsiktligen känslig information. Problemet åtgärdades genom förbättrad heuristik.
CVE-2017-7140: Agim Allkanjari på Stream in Motion Inc.
libarchive
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Uppackning av ett arkiv med skadligt innehåll kan ge upphov till körning av opålitlig kod
Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.
CVE-2017-13813: hittades av OSS-Fuzz
CVE-2017-13816: hittades av OSS-Fuzz
libarchive
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Uppackning av ett arkiv med skadligt innehåll kan ge upphov till körning av opålitlig kod
Beskrivning: Flera minnesfel förekom i libarchive. Dessa problem har åtgärdats genom förbättrad indatavalidering.
CVE-2017-13812: hittades av OSS-Fuzz
libc
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En fjärrangripare kan orsaka ett dos-angrepp
Beskrivning: Ett problem med utmattning av resurser i glob() åtgärdades genom en förbättrad algoritm.
CVE-2017-7086: Russ Cox på Google
libc
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan orsaka ett dos-angrepp
Beskrivning: Ett problem med minnesförbrukningen åtgärdades genom förbättrad minneshantering.
CVE-2017-1000373
libexpat
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Flera problem i expat
Beskrivning: Flera problem åtgärdades genom att uppdatera till version 2.2.1
CVE-2016-9063
CVE-2017-9233
libxml2
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av uppsåtligt skapad XML kan leda till en oväntad programavslutning eller körning av opålitlig kod
Beskrivning: Ett problem med buffertspill åtgärdades genom förbättrad minneshantering.
CVE-2017-7376: en anonym forskare
CVE-2017-5130: en anonym forskare
libxml2
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av uppsåtligt skapad XML kan leda till en oväntad programavslutning eller körning av opålitlig kod
Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.
CVE-2017-9050: Mateusz Jurczyk (j00ru) på Google Project Zero
libxml2
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av uppsåtligt skapad XML kan leda till en oväntad programavslutning eller körning av opålitlig kod
Beskrivning: Ett problem med användning av tidigare använt minne åtgärdades genom förbättrad minneshantering.
CVE-2017-9049: Wei Lei och Liu Yang på Nanyang Technological University i Singapore
libxml2
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av uppsåtligt skapad XML kan leda till en oväntad programavslutning eller körning av opålitlig kod
Beskrivning: En nullpekarreferens åtgärdades med förbättrad validering.
CVE-2018-4302: Gustavo Grieco
Location Framework
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan läsa känslig platsinformation
Beskrivning: Ett behörighetsproblem förekom i hanteringen av platsvariabeln. Det åtgärdades genom ytterligare ägarskapskontroller.
CVE-2017-7148: Igor Makarov på Moovit, Will McGinty och Shawnna Rodriguez på Bottle Rocket Studios
E-postutkast
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare med en behörig nätverksposition kan snappa upp innehåll i e-post
Beskrivning: Det fanns ett krypteringsproblem i hanteringen av e-postutkast. Problemet åtgärdades med förbättrad hantering av e-postutkast som var avsedda att skickas krypterade.
CVE-2017-7078: Petter Flink, Pierre ALBARÈDE från Marseille (Frankrike), en anonym forskare
Mail MessageUI
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en bild med skadligt innehåll kan leda till ett dos-angrepp
Beskrivning: Ett minnesfel åtgärdades med hjälp av förbättrad validering.
CVE-2017-7097: Xinshu Dong och Jun Hao Tan på Anquan Capital
Meddelanden
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av en bild med skadligt innehåll kan leda till ett dos-angrepp
Beskrivning: Ett problem med dos-angrepp åtgärdades genom förbättrad validering.
CVE-2017-7118: Kiki Jiang och Jason Tokoph
MobileBackup
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Säkerhetskopiering kan generera en okrypterad säkerhetskopia trots krav på att skapa endast krypterade säkerhetskopior
Beskrivning: Ett behörighetsproblem förekom. Problemet har åtgärdats genom förbättrad behörighetsvalidering.
CVE-2017-7133: Don Sparks på HackediOS.com
Anteckningar
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En lokal användare kan läcka känslig användarinformation
Beskrivning: Innehållet i låsta anteckningar syntes ibland i sökresultat. Problemet åtgärdades genom förbättrad datarensning.
CVE-2017-7075: Richard Will på Marathon Oil Company
Telefon
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En skärmavbild kan tas av säkert innehåll vid låsning av en iOS-enhet
Beskrivning: Ett problem med timing förekom i hanteringen av låsning. Problemet åtgärdades genom att inaktivera skärmavbilder vid låsning.
CVE-2017-7139: En anonym forskare
Profiler
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Poster för parkoppling mellan enheter skulle kunna installeras oavsiktligt på en enhet när en profil som inte tillåter parkoppling installeras
Beskrivning: Parkopplingar togs inte bort när en profil som inte tillåter parkopplingar installerades. Det åtgärdades genom att parkopplingar som stod i konflikt med konfigurationsprofilen togs bort.
CVE-2017-13806: Rorie Hood på MWR InfoSecurity
Överblick
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program utan rättigheter kan läsa det begränsade minnet
Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.
CVE-2017-13822: Australian Cyber Security Centre – Australian Signals Directorate
Överblick
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Tolkning av ett Office-dokument med skadligt innehåll kan leda till att ett program avslutas oväntat eller till körning av opålitlig kod
Beskrivning: Ett problem med minnesförbrukningen åtgärdades genom förbättrad minneshantering.
CVE-2017-7132: Australian Cyber Security Centre – Australian Signals Directorate
Safari
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Besök på en skadlig webbplats kan leda till att adressfältet förfalskas
Beskrivning: Ett problem med inkonsekvent användargränssnitt åtgärdades med hjälp av förbättrad tillståndshantering.
CVE-2017-7085: xisigr på Tencents Xuanwu Lab (tencent.com)
Sandlådeprofiler
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett skadligt program kan få reda på information om andra program på enheten.
Beskrivning: Ett program kunde avgöra förekomsten av filer utanför sandlådan. Problemet åtgärdades genom ytterligare sandlådekontroller.
CVE-2017-13877: Xiaokuan Zhang och Yinqian Zhang på Ohio State University, Xueqiang Wang och XiaoFeng Wang på Indiana University Bloomington och Xiaolong Bai på Tsinghua University
Säkerhet
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Återkallade certifikat kan bli betrodda
Beskrivning: Ett problem med certifikatvalideringen fanns vid hantering av återkallningsdata. Problemet har åtgärdats genom förbättrad validering.
CVE-2017-7080: En anonym forskare, en anonym forskare, Sven Driemecker på adesso mobile solutions gmbh, Rune Darrud (@theflyingcorpse) i Bærums kommune
Säkerhet
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett skadligt program kan spåra användare mellan installationer
Beskrivning: Ett behörighetskontrollproblem fanns i hanteringen av en apps Nyckelring-data. Problemet har åtgärdats genom förbättrad behörighetskontroll.
CVE-2017-7146: En anonym forskare
SQLite
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Flera problem i SQLite
Beskrivning: Flera problem åtgärdades genom att uppdatera till version 3.19.3.
CVE-2017-10989: hittat av OSS-Fuzz
CVE-2017-7128: hittat av OSS-Fuzz
CVE-2017-7129: hittat av OSS-Fuzz
CVE-2017-7130: hittat av OSS-Fuzz
SQLite
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Ett program kan köra opålitlig kod med systembehörighet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-7127: en anonym forskare
Telefoni
Tillgängligt för: iPhone 5s och senare samt Wi-Fi + Cellular-modellerna av iPad Air generation och senare
Effekt: En angripare inom räckhåll kan köra opålitlig kod
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-6211: Matthew Spisak på ENDGAME (endgame.com)
Tid
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Tidszoninställning kan felaktigt visa att den använder plats
Beskrivning: Ett behörighetsproblem fanns i processen som hanterar tidszoninformation. Problemet löstes genom att modifiera behörigheter.
CVE-2017-7145: Chris Lawrence
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod
Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.
CVE-2017-7081: Apple
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av skadligt webbinnehåll kan leda till körning av opålitlig kod
Beskrivning: Flera minnesproblem åtgärdades genom förbättrad minneshantering.
CVE-2017-7087: Apple
CVE-2017-7091: Wei Yuan på Baidu Security Lab i samarbete med Trend Micros Zero Day Initiative
CVE-2017-7092: Samuel Gro och Niklas Baumstark i samarbete med Trend Micros Zero Day Initiative, Qixun Zhao (@S0rryMybad) i Qihoo 360 Vulcan Team
CVE-2017-7093: Samuel Gro och Niklas Baumstark i samarbete med Trend Micros Zero Day Initiative
CVE-2017-7094: Tim Michaud (@TimGMichaud) på Leviathan Security Group
CVE-2017-7095: Wang Junjie, Wei Lei och Liu Yang på Nanyang Technological University i samarbete med Trend Micros Zero Day Initiative
CVE-2017-7096: Wei Yuan på Baidu Security Lab
CVE-2017-7098: Felipe Freitas på Instituto Tecnológico de Aeronáutica
CVE-2017-7099: Apple
CVE-2017-7100: Masato Kinugawa och Mario Heiderich på Cure53
CVE-2017-7102: Wang Junjie, Wei Lei och Liu Yang på Nanyang Technological University
CVE-2017-7104: likemeng på Baidu Secutity Lab
CVE-2017-7107: Wang Junjie, Wei Lei och Liu Yang på Nanyang Technological University
CVE-2017-7111: likemeng på Baidu Security Lab (xlab.baidu.com) i samarbete med Trend Micros Zero Day Initiative
CVE-2017-7117: lokihardt på Google Project Zero
CVE-2017-7120: chenqin (陈钦) på Ant-financial Light-Year Security Lab
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av skadligt webbinnehåll kan leda till universell skriptkörning över flera sajter
Beskrivning: Det fanns ett logikproblem i hanteringen av den överordnade fliken. Problemet åtgärdades genom förbättrad tillståndshantering.
CVE-2017-7089: Anton Lopanitsyn på ONSEC, Frans Rosén på Detectify
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Cookies från ett ursprung kunde eventuellt skickas till ett annat ursprung
Beskrivning: Ett behörighetsproblem förekom i hanteringen av webbläsarcookies. Problemet åtgärdades genom att inte returnera cookies för anpassade URL-scheman.
CVE-2017-7090: Apple
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Besök på en skadlig webbplats kan leda till att adressfältet förfalskas
Beskrivning: Ett problem med inkonsekvent användargränssnitt åtgärdades med hjälp av förbättrad tillståndshantering.
CVE-2017-7106: Oliver Paukstadt på Thinking Objects GmbH (to.com)
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Bearbetning av skadligt webbinnehåll kan leda till en attack med skriptkörning över flera sajter
Beskrivning: Policy för applikationscache kan oförväntat användas.
CVE-2017-7109: avlidienbrunn
WebKit
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En skadlig webbplats kan spåra användare som använder privat surfning i Safari
Beskrivning: Ett behörighetsproblem förekom i hanteringen av webbläsarcookies. Problemet åtgärdades genom förbättrade begränsningar.
CVE-2017-7144: Mohammad Ghasemisharif på UIC:s BITS Lab
WebKit Storage
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Webbplatsdata kan finnas kvar efter en privat surfsession i Safari
Beskrivning: Ett problem med informationsläckage fanns i hanteringen av webbplatsdata i privata Safari-fönster. Problemet har åtgärdats genom förbättrad datahantering.
CVE-2017-7142: Rich Shawn O’Connell, en anonym forskare, en anonym forskare
Wifi
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare inom räckhåll kan köra opålitlig kod på wifi-chippet
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-11120: Gal Beniamini på Google Project Zero
CVE-2017-11121: Gal Beniamini på Google Project Zero
Wifi
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Körning av skadlig kod på wifi-chippet kan leda till körning av opålitlig kod med kernelbehörighet på programprocessorn
Beskrivning: Ett minnesfel åtgärdades genom förbättrad minneshantering.
CVE-2017-7103: Gal Beniamini på Google Project Zero
CVE-2017-7105: Gal Beniamini på Google Project Zero
CVE-2017-7108: Gal Beniamini på Google Project Zero
CVE-2017-7110: Gal Beniamini på Google Project Zero
CVE-2017-7112: Gal Beniamini på Google Project Zero
Wifi
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Körning av skadlig kod på wifi-chippet kan leda till körning av opålitlig kod med kernelbehörighet på programprocessorn
Beskrivning: Flera konkurrenstillstånd åtgärdades med förbättrad validering.
CVE-2017-7115: Gal Beniamini på Google Project Zero
Wifi
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Körning av skadlig kod på wifi-chippet kan läsa begränsat kernelminne
Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.
CVE-2017-7116: Gal Beniamini på Google Project Zero
Wifi
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: En angripare inom räckhåll kan läsa begränsat minne från wifi-chipuppsättningen
Beskrivning: Ett valideringsproblem hanterades genom förbättrad indatasanering.
CVE-2017-11122: Gal Beniamini på Google Project Zero
zlib
Tillgängligt för: iPhone 5s och senare, iPad Air och senare, samt iPod touch 6:e generationen
Effekt: Flera problem i zlib
Beskrivning: Flera problem åtgärdades genom att uppdatera till version 1.2.11.
CVE-2016-9840
CVE-2016-9841
CVE-2016-9842
CVE-2016-9843
Ytterligare tack
LaunchServices
Vi vill tacka Mark Zimmermann på EnBW Energie Baden-Württemberg AG för hjälpen.
Säkerhet
Vi vill tacka Abhinav Bansal på Zscaler, Inc. för all hjälp.
WebKit
Vi vill tacka xisigr på Tencents Xuanwu Lab (tencent.com) för hjälpen.
WebKit
Vi vill tacka Rayyan Bijoora (@Bijoora) på The City School, PAF Chapter för hjälpen.
WebKit Web Inspector
Vi vill tacka Ioan Bizău på Bloggify för hjälpen.
Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Kontakta leverantören för mer information.