Om säkerhetsinnehållet i iOS 17.1 och iPadOS 17.1.

I det här dokumentet beskrivs säkerhetsinnehållet i iOS 17.1 och iPadOS 17.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste släppen visas på sidan Apples säkerhetssläpp.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

iOS 17.1 och iPadOS 17.1

Släpptes den 25 oktober 2023

Automation

Tillgängligt för: iPhone XS och senare, iPad Pro 12,9 tum 2:a generationen och senare, iPad Pro 10,5 tum, iPad Pro 11 tum 1:a generationen och senare, iPad Air 3:e generationen och senare, iPad 6:e generationen och senare och iPad mini 5:e generationen och senare

Effekt: En app med rotbehörighet kan ha tillgång till privat information

Beskrivning: Problemet hanterades med förbättrade kontroller.

CVE-2023-42952: Zhipeng Huo (@R3dF09) på Tencent Security Xuanwu Lab (xlab.tencent.com)

Lades till 16 februari 2024

Contacts

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.

CVE-2023-41072: Wojciech Regula på SecuRing (wojciechregula.blog) och Csaba Fitzl (@theevilbit) på Offensive Security

CVE-2023-42857: Noah Roskin-Frazee och Prof. J. (ZeroClicks.ai Lab)

CoreAnimation

Effekt: En app kan orsaka ett dos-angrepp

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-40449: Tomi Tokics (@tomitokics) på iTomsn0w

Core Recents

Effekt: En app kan komma åt användarkänsliga data

Beskrivning: Problemet löstes genom rensning av loggar

CVE-2023-42823

Lades till 16 februari 2024

FairPlay

Effekt: En app kan få högre behörighet

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2023-42928: Peter Nguyễn Vũ Hoàng (@peternguyen14) på STAR Labs SG Pte. Ltd.

Lades till 16 februari 2024

Find My

Effekt: En app kanske kan läsa känslig platsinformation

Beskrivning: Problemet åtgärdades genom förbättrad hantering av cache.

CVE-2023-40413: Adam M.

Find My

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Ett integritetsproblem åtgärdades med förbättrad hantering av filer.

CVE-2023-42834: Csaba Fitzl (@theevilbit) på Offensive Security

Lades till 16 februari 2024

Game Center

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Ett behörighetsproblem åtgärdades med ytterligare begränsningar.

CVE-2023-42953: Michael (Biscuit) Thomas – @biscuit@social.lol

Lades till 16 februari 2024

ImageIO

Effekt: Bearbetning av en bild kan leda till spridning av processminne

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-40416: JZ

ImageIO

Effekt: Bearbetning av en skadlig bild kan leda till heap-fel

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2023-42848: JZ

Lades till 16 februari 2024

IOTextEncryptionFamily

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-40423: En anonym forskare

Kernel

Effekt: En angripare som redan har uppnått körning av kernel-kod kan kringgå kärnminnesbegränsningar

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42849: Linus Henze på Pinauten GmbH (pinauten.de)

libc

Effekt: Bearbetning av indata med skadligt innehåll kan leda till körning av opålitlig kod i användarinstallerade appar

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-40446: inooo

Lades till 3 november 2023

libxpc

Effekt: En skadlig app kan få rotbehörighet

Beskrivning: Problemet åtgärdades genom förbättrad hantering av symlänkar.

CVE-2023-42942: Mickey Jin (@patch1t)

Lades till 16 februari 2024

Mail Drafts

Effekt: Dölj min e-postadress kan oväntat inaktiveras

Beskrivning: Ett problem med inkonsekvent användargränssnitt åtgärdades med hjälp av förbättrad tillståndshantering.

CVE-2023-40408: Grzegorz Riegel

mDNSResponder

Effekt: En enhet kan passivt spåras med hjälp av dess wifi-MAC-adress

Beskrivning: Problemet åtgärdades genom borttagning av den sårbara koden.

CVE-2023-42846: Talal Haj Bakry och Tommy Mysk på Mysk Inc. @mysk_co

Passkeys

Effekt: En angripare kan komma åt nycklar utan autentisering

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

CVE-2023-42847: En anonym forskare

Photos

Effekt: Bilder i fotoalbumet Gömda kan visas utan autentisering

Beskrivning: Ett problem med autentisering åtgärdades genom förbättrad tillståndshantering.

CVE-2023-42845: Bistrit Dahal

Uppdaterades 16 februari 2024

Pro Res

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2023-42841: Mingxuan Yang (@PPPF00L), happybabywu och Guang Gong på 360 Vulnerability Research Institute

Pro Res

Effekt: En app kan köra opålitlig kod med kernelbehörighet

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2023-42873: Mingxuan Yang (@PPPF00L), happybabywu och Guang Gong på 360 Vulnerability Research Institute

Lades till 16 februari 2024

Safari

Effekt: En användare kan kanske inte ta bort webbläsarhistorikobjekt

Beskrivning: Problemet åtgärdades genom förbättrad hantering av cache.

CVE-2023-42951: Adis Alic

Lades till 16 februari 2024

Sandbox

Effekt: En angripare kan komma åt anslutna nätverksvolymer som är monterade i hemkatalogen

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

CVE-2023-42836: Yiğit Can YILMAZ (@yilmazcanyigit)

Lades till 16 februari 2024

Sandbox

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Problemet åtgärdades med förbättrad tillståndshantering.

CVE-2023-42839: Yiğit Can YILMAZ (@yilmazcanyigit)

Lades till 16 februari 2024

Setup Assistant

Effekt: En angripare med fysiskt åtkomst kan spara ett Apple-ID på en raderad enhet utan notis

Beskrivning: Problemet åtgärdades med förbättrad tillståndshantering.

CVE-2023-42855: Sam Lakmaker

Lades till 16 februari 2024

Share Sheet

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.

CVE-2023-42878: Kirin (@Pwnrin), Wojciech Regula på SecuRing (wojciechregula.blog) och Cristian Dinca på Tudor Vianu National High School of Computer Science, Rumänien

Lades till 16 februari 2024

Siri

Effekt: En angripare med fysisk åtkomst kan använda Siri för att komma åt känsliga användardata

Beskrivning: Problemet åtgärdades genom att begränsa tillgängliga alternativ på en låst enhet.

CVE-2023-41982: Bistrit Dahal

CVE-2023-41997: Bistrit Dahal

CVE-2023-41988: Bistrit Dahal

Uppdaterades 16 februari 2024

Siri

Effekt: En app kan läcka känslig användarinformation

Beskrivning: Problemet åtgärdades med förbättrad redigering av känslig information.

CVE-2023-42946

Lades till 16 februari 2024

Status Bar

Effekt: Det går inte att låsa en enhet

Beskrivning: Problemet hanterades med förbättrad hantering av användargränssnittet.

CVE-2023-40445: Ting Ding, James Mancz, Omar Shibli, en anonym forskare, Lorenzo Cavallaro och Harry Lewandowski

Weather

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Ett integritetsproblem åtgärdades genom förbättrad redigering av personlig information för loggposter.

CVE-2023-41254: Cristian Dinca på Tudor Vianu National High School of Computer Science i Rumänien

WebKit

Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Problemet hanterades med förbättrad minneshantering.

WebKit Bugzilla: 259836
CVE-2023-40447: 이준성(Junsung Lee) på Cross Republic

WebKit

Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett uaf-fel åtgärdades med förbättrad minneshantering.

WebKit Bugzilla: 259890
CVE-2023-41976: 이준성(Junsung Lee)

WebKit

Effekt: Bearbetning av webbinnehåll kan leda till körning av opålitlig kod

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

WebKit Bugzilla: 260173
CVE-2023-42852: Pedro Ribeiro (@pedrib1337) och Vitor Pedreira (@0xvhp_) på Agile Information Security

Uppdaterades 16 februari 2024

WebKit

Effekt: Besök på en webbplats med skadligt innehåll kan leda till att adressfältet förfalskas

Beskrivning: Ett problem med inkonsekvent användargränssnitt åtgärdades med hjälp av förbättrad tillståndshantering.

WebKit Bugzilla: 260046
CVE-2023-42843: Kacper Kwapisz (@KKKas_)

Lades till 16 februari 2024

WebKit

Effekt: En användares privata surfaktivitet kan oväntat sparas i Rapport om appintegritet

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

CVE-2023-42939: Abhay Kailasia (@abhay_kailasia) på Lakshmi Narain College Of Technology Bhopal, Indien

Lades till 16 februari 2024

WebKit Process Model

Effekt: Bearbetning av webbinnehåll kan leda till ett dos-angrepp

Beskrivning: Problemet hanterades med förbättrad minneshantering.

WebKit Bugzilla: 260757
CVE-2023-41983: 이준성(Junsung Lee)

Ytterligare tack

libarchive

Vi vill tacka Bahaa Naamneh för hjälpen.

libxml2

Vi vill tacka OSS-Fuzz, Ned Williamson på Google Project Zero för hjälpen.

Power Manager

Vi vill tacka Xia0o0o0o (@Nyaaaaa_ovo) på University of California, San Diego för hjälpen.

ReplayKit

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College of Technology Bhopal för hjälpen.

Lades till 16 februari 2024

VoiceOver

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College Of Technology Bhopal India för hjälpen.

WebKit

Vi vill tacka en anonym forskare för hjälpen.

WebKit

Vi vill tacka Gishan Don Ranasinghe och en anonym forskare för hjälpen.

Lades till 16 februari 2024

WidgetKit

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College Of Technology Bhopal India för hjälpen.

Lades till 16 februari 2024

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Kontakta leverantören för mer information.

Publiceringsdatum: 27 februari 2024