เกี่ยวกับเนื้อหาความปลอดภัยของ Safari 13.0.3

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของ Safari 13.0.3

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple

Safari 13.0.3

WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6 และรวมอยู่ใน macOS Catalina 10.15.1

ผลกระทบ: การประมวลผลเว็บคอนเทนต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการส่งลิงก์ฝังสคริปต์ไปยังไซต์อื่นทั้งระบบ (Cross-site Scripting) ได้

คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8813: นักวิจัยนิรนาม

WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6 และรวมอยู่ใน macOS Catalina 10.15.1

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8782: Cheolung Lee จาก LINE+ Security Team

CVE-2019-8783: Cheolung Lee จาก LINE+ Graylab Security Team

CVE-2019-8808: พบโดย OSS-Fuzz

CVE-2019-8811: Soyeon Park จาก SSLab ที่ Georgia Tech

CVE-2019-8812: JunDong Xie จาก Ant-financial Light-Year Security Lab

CVE-2019-8814: Cheolung Lee จาก LINE+ Security Team

CVE-2019-8816: Soyeon Park จาก SSLab ที่ Georgia Tech

CVE-2019-8819: Cheolung Lee จาก LINE+ Security Team

CVE-2019-8820: Samuel Groß จาก Google Project Zero

CVE-2019-8821: Sergei Glazunov จาก Google Project Zero

CVE-2019-8822: Sergei Glazunov จาก Google Project Zero

CVE-2019-8823: Sergei Glazunov จาก Google Project Zero

WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6 และรวมอยู่ใน macOS Catalina 10.15.1

ผลกระทบ: การเข้าดูเว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจเปิดเผยไซต์ที่ผู้ใช้เคยเข้าดู

คำอธิบาย: ส่วนหัวตัวอ้างอิง HTTP อาจใช้เพื่อทำให้ประวัติการเรียกดูรั่วไหล ปัญหานี้ได้รับการแก้ไขแล้วโดยการดาวน์เกรดตัวอ้างอิงที่เป็นของบริษัทอื่นทั้งหมดให้เหลือแค่ต้นทาง

CVE-2019-8827: Artur Janc, Krzysztof Kotowicz, Lukas Weichselbaum และ Roberto Clapis จาก Google Security Team

โมเดลกระบวนการ WebKit

มีให้สำหรับ: macOS Mojave 10.14.6 และ macOS High Sierra 10.13.6 และรวมอยู่ใน macOS Catalina 10.15.1

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8815: Apple

คำขอบคุณพิเศษ

WebKit

เราขอขอบคุณสำหรับความช่วยเหลือจาก Dlive จาก Xuanwu Lab ของ Tencent และ Zhiyi Zhang จาก Codesafe Team จาก Legendsec ที่ Qi'anxin Group