เกี่ยวกับเนื้อหาความปลอดภัยของ Safari 13

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของ Safari 13

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple

Safari 13

WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6

ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8625: Sergei Glazunov จาก Google Project Zero

CVE-2019-8719: Sergei Glazunov จาก Google Project Zero

WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8707: นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro, cc ที่ทำงานร่วมกับ Trend Micro Zero Day Initiative

CVE-2019-8726: Jihui Lu จาก Tencent KeenLab

CVE-2019-8728: Junho Jang จาก LINE Security Team และ Hanul Choi จาก ABLY Corporation

CVE-2019-8733: Sergei Glazunov จาก Google Project Zero

CVE-2019-8734: พบโดย OSS-Fuzz

CVE-2019-8735: G. Geshev ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

การโหลดหน้า WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6

ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8674: Sergei Glazunov จาก Google Project Zero

คำขอบคุณพิเศษ

WebKit

เราขอขอบคุณสำหรับความช่วยเหลือจาก MinJeong Kim จาก Information Security Lab, Chungnam National University, JaeCheol Ryou จาก Information Security Lab, Chungnam National University ในเกาหลีใต้, Yiğit Can YILMAZ (@yilmazcanyigit), Zhihua Yao จาก DBAPPSecurity Zion Lab, นักวิจัยนิรนาม, cc ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro