เกี่ยวกับเนื้อหาด้านความปลอดภัยของ Safari 10.1.1

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาด้านความปลอดภัยของ Safari 10.1.1

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple คุณสามารถเข้ารหัสการสื่อสารกับ Apple ได้โดยใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

Safari 10.1.1

เปิดตัวเมื่อวันที่ 15 พฤษภาคม 2017

JavaScriptCore

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้แอพพลิเคชั่นหยุดโดยไม่คาดหมาย หรือมีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2017-7005: lokihardt จาก Google Project Zero

เพิ่มรายการเมื่อวันที่ 9 มิถุนายน 2017

Safari

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: การเข้าดูหน้าเว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้เกิดการปฏิเสธการให้บริการของแอพพลิเคชั่น

คำอธิบาย: ปัญหาในเมนูประวัติของ Safari ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2017-2495: Tubasa Iinuma (@llamakko_cafe) จาก Gehirn Inc.

Safari

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: การเข้าชมเว็บไซต์ที่ประสงค์ร้ายอาจทำให้เกิดการปลอมแปลงแถบที่อยู่

คำอธิบาย: ปัญหาอินเทอร์เฟซผู้ใช้ไม่สอดคล้องได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2500: Zhiyang Zeng และ Yuyang Zhou จาก Tencent Security Platform Department

CVE-2017-2511: Zhiyang Zeng จาก Tencent Security Platform Department

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2017-2496: Apple

CVE-2017-2505: lokihardt จาก Google Project Zero

CVE-2017-2506: Zheng Huang จาก Baidu Security Lab ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2514: lokihardt จาก Google Project Zero

CVE-2017-2515: lokihardt จาก Google Project Zero

CVE-2017-2521: lokihardt จาก Google Project Zero

CVE-2017-2525: Kai Kang (4B5F5F4B) จาก Xuanwu Lab ของ Tencent (tencent.com) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2526: Kai Kang (4B5F5F4B) จาก Xuanwu Lab ของ Tencent (tencent.com) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2530: Wei Yuan จาก Baidu Security Lab, Zheng Huang จาก Baidu Security Lab ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2531: lokihardt จาก Google Project Zero

CVE-2017-2538: Richard Zhu (fluorescence) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2539: Richard Zhu (fluorescence) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2544: 360 Security (@mj0011sec) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-2547: lokihardt จาก Google Project Zero, Team Sniper (Keen Lab และ PC Mgr) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

CVE-2017-6980: lokihardt จาก Google Project Zero

CVE-2017-6984: lokihardt จาก Google Project Zero

อัพเดทรายการเมื่อวันที่ 20 มิถุนายน 2017

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้

คำอธิบาย: มีปัญหาตรรกะในการจัดการคำสั่งของ WebKit Editor ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2504: lokihardt จาก Google Project Zero

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

คำอธิบาย: มีปัญหาตรรกะในการจัดการโหนดตัวบรรจุของ WebKit ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2508: lokihardt จาก Google Project Zero

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

คำอธิบาย: มีปัญหาตรรกะในการจัดการเหตุการณ์ pageshow ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2510: lokihardt จาก Google Project Zero

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

คำอธิบาย: มีปัญหาตรรกะในการจัดการเฟรมที่แคชของ WebKit ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2528: lokihardt จาก Google Project Zero

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

CVE-2017-2536: Samuel Groß และ Niklas Baumstark ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

WebKit

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

คำอธิบาย: มีปัญหาตรรกะในการโหลดเฟรม ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2017-2549: lokihardt จาก Google Project Zero

WebKit Web Inspector

มีให้สำหรับ: OS X Yosemite 10.10.5, OS X El Capitan 10.11.6 และ macOS Sierra 10.12.5

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้รหัสที่ไม่มีการลงชื่อได้

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2017-2499: George Dan (@theninjaprawn)

คำขอบคุณพิเศษ

Safari

เราขอขอบคุณสำหรับความช่วยเหลือจาก Flyin9_L (ZhenHui Lee) (@ACITSEC)

การให้ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ Apple ไม่ได้ควบคุมหรือทดสอบไม่ถือเป็นการแนะนำหรือการรับรองใดๆ Apple จะไม่รับผิดชอบในส่วนที่เกี่ยวข้องกับการเลือก ประสิทธิภาพการทำงาน หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น โปรดติดต่อผู้จำหน่ายหากต้องการข้อมูลเพิ่มเติม

วันที่เผยแพร่: 3 พฤศจิกายน 2566