เกี่ยวกับเนื้อหาความปลอดภัยของ iOS 13.3 และ iPadOS 13.3

เอกสารนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของ iOS 13.3 และ iPadOS 13.3

เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple

เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple

เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple

iOS 13.3 และ iPadOS 13.3

เปิดตัวเมื่อวันที่ 10 ธันวาคม 2019

CallKit

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: การโทรโดยใช้ Siri อาจทำได้โดยใช้แผนบริการข้อมูลเซลลูลาร์ที่ไม่ถูกต้องบนอุปกรณ์ที่มีแผนบริการข้อมูลสองแผนที่ใช้งานอยู่

คำอธิบาย: มีปัญหาเกี่ยวกับ API ในการจัดการสายโทรออกที่ดำเนินการโดย Siri ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการสถานะให้ดียิ่งขึ้น

CVE-2019-8856: Fabrice TERRANCLE จาก TERRANCLE SARL

CFNetwork Proxies

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถรับสิทธิ์ในระดับที่สูงขึ้นได้

คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบให้ดียิ่งขึ้น

CVE-2019-8848: Zhuo Liang จาก Qihoo 360 Vulcan Team

FaceTime

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: การประมวลผลวิดีโอที่ประสงค์ร้ายผ่าน FaceTime อาจทำให้มีการใช้รหัสโดยอำเภอใจ

คำอธิบาย: ปัญหาการอ่านนอกขอบเขตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น

CVE-2019-8830: Natalie Silvanovich จาก Google Project Zero

IOSurfaceAccelerator

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ

คำอธิบาย: ปัญหาการเปิดเผยข้อมูลได้รับการแก้ไขแล้วโดยการลบรหัสที่มีความเสี่ยง

CVE-2019-8841: Corellium

IOUSBDeviceFamily

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8836: Xiaolong Bai และ Min (Spark) Zheng จาก Alibaba Inc. และ Luyi Xing จาก Indiana University Bloomington

เคอร์เนล

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วโดยลบรหัสที่มีความเสี่ยง

CVE-2019-8833: Ian Beer จาก Google Project Zero

เคอร์เนล

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์เคอร์เนลได้โดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8828: Cim Stordal จาก Cognite

CVE-2019-8838: Dr. Silvio Cesare จาก InfoSect

libexpat

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: การแยกวิเคราะห์ไฟล์ XML ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้เกิดการเปิดเผยข้อมูลของผู้ใช้

คำอธิบาย: ปัญหานี้ได้รับการแก้ไขแล้วโดยการอัพเดท Expat ให้เป็นเวอร์ชั่น 2.2.8

CVE-2019-15903: Joonun Jang

รูปภาพ

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: ข้อมูลเสียงและภาพของ Live Photo อาจถูกแชร์ผ่านลิงก์ iCloud แม้ว่า Live Photo จะปิดใช้งานอยู่ในแผ่นงานการแชร์แบบหมุน

คำอธิบาย: ปัญหาได้รับการแก้ไขแล้วผ่านการปรับปรุงการตรวจสอบให้ดียิ่งขึ้นเมื่อมีการสร้างลิงก์ iCloud

CVE-2019-8857: Tor Bruce

ความปลอดภัย

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: แอพพลิเคชั่นอาจสามารถใช้โค้ดที่มีสิทธิ์ในระดับระบบได้โดยอำเภอใจ

คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8832: Insu Yun จาก SSLab ที่ Georgia Tech

WebKit

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหาหลายประการเกี่ยวกับความเสียหายของหน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8835: นักวิจัยนิรนามที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro, Mike Zhang จาก Pangu Team

CVE-2019-8844: William Bowling (@wcbowling)

WebKit

มีให้สำหรับ: iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่า และ iPod touch รุ่นที่ 7

ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น

CVE-2019-8846: Marcin Towalski จาก Cisco Talos

คำขอบคุณพิเศษ

บัญชี

เราขอขอบคุณสำหรับความช่วยเหลือจาก Kishan Bagaria (KishanBagaria.com) และ Tom Snelling จาก Loughborough University

Core Data

เราขอขอบคุณสำหรับความช่วยเหลือจาก Natalie Silvanovich จาก Google Project Zero

การตั้งค่า

เราขอขอบคุณสำหรับความช่วยเหลือจากนักวิจัยนิรนาม

การให้ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ Apple ไม่ได้ควบคุมหรือทดสอบไม่ถือเป็นการแนะนำหรือการรับรองใดๆ Apple จะไม่รับผิดชอบในส่วนที่เกี่ยวข้องกับการเลือก ประสิทธิภาพการทำงาน หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น โปรดติดต่อผู้จำหน่ายหากต้องการข้อมูลเพิ่มเติม

วันที่เผยแพร่: