เกี่ยวกับรายการอัพเดทความปลอดภัยของ Apple
เพื่อเป็นการปกป้องลูกค้าของเรา Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบ และมีแพตช์หรือมีการเปิดตัวออกมาแล้ว รายการที่เปิดตัวล่าสุดจะแสดงอยู่ในหน้ารายการอัพเดทความปลอดภัยของ Apple
เอกสารด้านความปลอดภัยของ Apple จะอ้างอิงช่องโหว่ต่างๆ ตาม CVE-ID หากทำได้
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย โปรดดูที่หน้าความปลอดภัยของผลิตภัณฑ์ Apple
Safari 13.1
เปิดตัวเมื่อวันที่ 24 มีนาคม 2020
การดาวน์โหลด Safari
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: iframe ที่ประสงค์ร้ายอาจใช้การตั้งค่าการดาวน์โหลดของเว็บไซต์อื่น
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจำกัดให้ดียิ่งขึ้น
CVE-2020-9784: Ruilin Yang จาก Tencent Security Xuanwu Lab, Ryan Pickren (ryanpickren.com)
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาเกี่ยวกับความสับสนในประเภทได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2020-3901: Benjamin Randazzo (@____benjamin)
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: ต้นทางของการดาวน์โหลดอาจเชื่อมโยงกันอย่างไม่ถูกต้อง
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจำกัดให้ดียิ่งขึ้น
CVE-2020-3887: Ryan Pickren (ryanpickren.com)
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ดโดยอำเภอใจ
คำอธิบาย: ปัญหาหน่วยความจำเสียหายได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2020-3895: grigoritchy
CVE-2020-3900: Dongzhuo Zhao ที่ทำงานร่วมกับ ADLab จาก Venustech
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: แอพพลิเคชั่นอาจสามารถอ่านหน่วยความจำที่ถูกจำกัดไว้ได้
คำอธิบาย: ปัญหาสภาวะการแข่งขันได้รับการแก้ไขแล้วด้วยการตรวจสอบข้อมูลเพิ่มเติม
CVE-2020-3894: Sergei Glazunov จาก Google Project Zero
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: ผู้โจมตีระยะไกลอาจสามารถทำให้เกิดการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาเกี่ยวกับความสับสนในประเภทได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2020-3897: Brendan Draper (@6r3nd4n) ที่ทำงานร่วมกับ Zero Day Initiative ของ Trend Micro
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการใช้โค้ด
คำอธิบาย: ปัญหา Use-after-free ได้รับการแก้ไขแล้วผ่านการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2020-9783: Apple
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: ผู้โจมตีระยะไกลอาจสามารถทำให้เกิดการใช้รหัสโดยอำเภอใจ
คำอธิบาย: ปัญหาการใช้หน่วยความจำได้รับการแก้ไขแล้วด้วยการปรับปรุงการจัดการหน่วยความจำให้ดียิ่งขึ้น
CVE-2020-3899: พบโดย OSS-Fuzz
WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: การประมวลผลคอนเทนต์เว็บที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้มีการโจมตีแบบส่งลิงก์ฝังสคริปต์ให้ไปยังไซต์อื่น
คำอธิบาย: ปัญหาการตรวจสอบอินพุตได้รับการแก้ไขแล้วด้วยการปรับปรุงการตรวจสอบอินพุตให้ดียิ่งขึ้น
CVE-2020-3902: Yiğit Can YILMAZ (@yilmazcanyigit)
การโหลดหน้า WebKit
มีให้สำหรับ: macOS Mojave และ macOS High Sierra และรวมอยู่ใน macOS Catalina
ผลกระทบ: URL ของไฟล์อาจถูกประมวลผลไม่ถูกต้อง
คำอธิบาย: ปัญหาตรรกะได้รับการแก้ไขแล้วด้วยการปรับปรุงการจำกัดให้ดียิ่งขึ้น
CVE-2020-3885: Ryan Pickren (ryanpickren.com)
คำขอบคุณพิเศษ
Safari
เราขอขอบคุณสำหรับความช่วยเหลือจาก Dlive จาก Tencent Security Xuanwu Lab, Jacek Kolodziej จาก Procter & Gamble และ Justin Taft จาก One Up Security, LLC
ส่วนขยายของ Safari
เราขอขอบคุณสำหรับความช่วยเหลือจาก Jeff Johnson จาก underpassapp.com
ตัวอ่าน Safari
เราขอขอบคุณสำหรับความช่วยเหลือจาก Nikhil Mittal (@c0d3G33k) จาก Payatu Labs (payatu.com)
WebKit
เราขอขอบคุณสำหรับความช่วยเหลือจาก Emilio Cobos Álvarez จาก Mozilla, Samuel Groß จาก Google Project Zero, hearmen
อัพเดทรายการเมื่อวันที่ 4 เมษายน 2020