เกี่ยวกับเนื้อหาความปลอดภัยของ Safari 11.1.1

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของ Safari 11.1.1

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple คุณสามารถเข้ารหัสการสื่อสารกับ Apple ได้โดยใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

Safari 11.1.1

Safari

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: เว็บไซต์ที่ประสงค์ร้ายอาจทำให้เกิดการปฏิเสธบริการ

คำอธิบาย: ปัญหาการปฏิเสธบริการได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2018-4247: François Renaud, Jesse Viviano จาก Verizon Enterprise Solutions

Safari

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การเข้าชมเว็บไซต์ที่ประสงค์ร้ายอาจทำให้เกิดการปลอมแปลงแถบที่อยู่

คำอธิบาย: ปัญหาอินเทอร์เฟซผู้ใช้ไม่สอดคล้องได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2018-4205: xisigr จาก Tencent's Xuanwu Lab (tencent.com)

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้คุกกี้ถูกเขียนทับ

คำอธิบาย: มีปัญหาสิทธิ์อนุญาตในการจัดการคุกกี้ของเว็บเบราเซอร์ ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจำกัดให้ดียิ่งขึ้น

CVE-2018-4232: นักวิจัยนิรนาม, Aymeric Chaib

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาเกี่ยวกับความสับสนในประเภทได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2018-4246: พบโดย OSS-Fuzz

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วด้วยการปรับปรุงการล็อคให้ดียิ่งขึ้น

CVE-2018-4192: Markus Gaasedelen, Amy Burnett และ Patrick Biernat จาก Ret2 Systems, Inc ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การเข้าชมเว็บไซต์ที่ประสงค์ร้ายอาจทำให้เกิดการปลอมแปลงแถบที่อยู่

คำอธิบาย: ปัญหาอินเทอร์เฟซผู้ใช้ไม่สอดคล้องได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2018-4188: YoKo Kho (@YoKoAcc) จาก Mitra Integrasi Informatika, PT

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้ Safari ล่มโดยไม่คาดหมาย

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2018-4214: พบโดย OSS-Fuzz

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2018-4201: นักวิจัยนิรนาม

CVE-2018-4218: natashenka จาก Google Project Zero

CVE-2018-4233: Samuel Groß (@5aelo) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาบัฟเฟอร์ล้นได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2018-4199: Alex Plaskett, Georgi Geshev และ Fabi Beterke จาก MWR Labs ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้ข้อมูลสำคัญรั่วไหลได้

คำอธิบาย: ข้อมูลประจำตัวถูกส่งโดยไม่คาดคิดเมื่อดึงข้อมูลภาพมาสก์ CSS ปัญหานี้ได้รับการแก้ไขแล้วโดยใช้วิธีการดึงข้อมูลที่ใช้ CORS

CVE-2018-4190: Jun Kokatsu (@shhnjk)

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาการอ่านนอกขอบเขตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2018-4222: natashenka จาก Google Project Zero

WebKit

มีให้สำหรับ: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 และ macOS High Sierra 10.13.4

ผลกระทบ: การเข้าชมเว็บไซต์ที่ประสงค์ร้ายอาจทำให้เกิดการปลอมแปลงแถบที่อยู่

คำอธิบาย: มีปัญหาการเลียนแบบในการจัดการ URL ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2018-4277: xisigr จาก Tencent's Xuanwu Lab (tencent.com)