iOS 10.3.2'nin güvenlik içeriği hakkında
Bu belgede, iOS 10.3.2'nin güvenlik içeriği açıklanmaktadır.
Apple güvenlik güncellemeleri hakkında
Apple, müşterilerini korumak amacıyla, tam bir inceleme gerçekleştirilene ve yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Son sürümler Apple güvenlik güncellemeleri sayfasında listelenmektedir.
Güvenlik hakkında daha fazla bilgi için Apple Ürün Güvenliği sayfasına bakın. Apple ile iletişimlerinizi Apple Ürün Güvenliği PGP Anahtarı'nı kullanarak şifreleyebilirsiniz.
Apple güvenlik belgelerinde güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.
iOS 10.3.2
AVEVideoEncoder
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Birden çok bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6989: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6994: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6995: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6996: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6997: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6998: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CVE-2017-6999: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
CoreAudio
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2502: Qihoo360 Qex Team'den Yangkang (@dnpushme)
CoreFoundation
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2522: Google Project Zero'dan Ian Beer
CoreText
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir dosyanın işlenmesi uygulamanın sonlandırılmasına neden olabilir
Açıklama: Servis reddi sorunu, doğrulama işlemi iyileştirilerek giderildi.
CVE-2017-7003: SPYSCAPE'den Jake Davis (@DoubleJake), Salesforce'dan João Henrique Neves ve Stephen Goldberg
Foundation
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2523: Google Project Zero'dan Ian Beer
iBooks
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir kitap, kullanıcı izni olmadan rastgele web sitesi açabilir
Açıklama: URL işleme sorunu, durum yönetimi iyileştirilerek giderildi.
CVE-2017-2497: Jun Kokatsu (@shhnjk)
iBooks
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, kök ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Sembolik bağlantıların yol doğrulama mantığında bir sorun vardı. Bu sorun, yol temizleme işlemi iyileştirilerek giderildi.
CVE-2017-6981: YSRC'den (sec.ly.com) evi1m0
IOSurface
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, çekirdek ayrıcalıkları elde edebilir
Açıklama: Yarış durumu sorunu, kilitleme iyileştirilerek giderildi.
CVE-2017-6979: Zimperium zLabs Team'den Adam Donenfeld (@doadam)
JavaScriptCore
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi, uygulamanın beklenmedik şekilde sonlandırılmasına veya rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek birden çok bellek bozulması sorunu giderildi.
CVE-2017-7005: Google Project Zero'dan lokihardt
Çekirdek
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, çekirdek ayrıcalıklarıyla rastgele kod yürütebilir
Açıklama: Kilitleme iyileştirilerek bir yarış durumu giderildi.
CVE-2017-2501: Google Project Zero'dan Ian Beer
Çekirdek
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, sınırlandırılmış belleği okuyabilir
Açıklama: Doğrulama sorunu, giriş temizleme işlemi iyileştirilerek giderildi.
CVE-2017-2507: Google Project Zero'dan Ian Beer
CVE-2017-6987: Synack'ten Patrick Wardle
Bildirimler
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, servis reddine neden olabilir
Açıklama: Servis reddi sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-6982: CoffeeBreakers'dan Vincent Desmurs (vincedes3), Sem Voigtlander (OxFEEDFACE) ve Joseph Shenton
Safari
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir web sayfasının ziyaret edilmesi uygulama servis reddine neden olabilir
Açıklama: Safari'nin tarihçe menüsündeki bir sorun, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2495: Gehirn Inc.'ten Tubasa Iinuma (@llamakko_cafe)
Güvenlik
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Sertifika güven politikasında güncelleme
Açıklama: Güvenilir olmayan sertifikaların işlenmesinde bir sertifika doğrulama sorunu vardı. Bu sorun, kullanıcı tarafından gerçekleştirilen güven kabul işlemi iyileştirilerek giderildi.
CVE-2017-2498: Andrew Jerman
Güvenlik
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Yerel bir uygulama, yetkisiz bir şekilde ayrıcalıklı XPC iletileri gönderebilir
Açıklama: Yarış durumu sorunu, tutarlılık denetimleri iyileştirilerek giderildi.
CVE-2017-7004: Google Project Zero'dan Ian Beer
SQLite
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek yönetimi iyileştirilerek boşaltılan belleğin kullanılmasıyla ilgili bir sorun giderildi.
CVE-2017-2513: OSS-Fuzz
SQLite
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Belleğin işlenmesi iyileştirilerek bir arabellek taşması sorunu giderildi.
CVE-2017-2518: OSS-Fuzz
CVE-2017-2520: OSS-Fuzz
SQLite
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş bir SQL sorgusu, rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2519: OSS-Fuzz
SQLite
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Birden çok bellek bozulması sorunu, giriş doğrulama işlemi iyileştirilerek giderildi.
CVE-2017-6983: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-6991: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7000: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7001: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
CVE-2017-7002: Trend Micro'nun Zero Day Initiative programında çalışan Chaitin Security Research Lab (@ChaitinTech)
TextInput
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş verilerin ayrıştırılması rastgele kod yürütülmesine neden olabilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2524: Google Project Zero'dan Ian Beer
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Birden çok bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2496: Apple
CVE-2017-2505: Google Project Zero'dan lokihardt
CVE-2017-2506: Trend Micro'nun Zero Day Initiative programında çalışan, Baidu Security Lab'den Zheng Huang
CVE-2017-2514: Google Project Zero'dan lokihardt
CVE-2017-2515: Google Project Zero'dan lokihardt
CVE-2017-2521: Google Project Zero'dan lokihardt
CVE-2017-2525: Tencent's Xuanwu Lab'den (tencent.com), Trend Micro'nun Zero Day Initiative programında çalışan Kai Kang (4B5F5F4B)
CVE-2017-2526: Tencent's Xuanwu Lab'den (tencent.com), Trend Micro'nun Zero Day Initiative programında çalışan Kai Kang (4B5F5F4B)
CVE-2017-2530: Trend Micro'nun Zero Day Initiative programında çalışan, Baidu Security Lab'den Wei Yuan ve Zheng Huang
CVE-2017-2531: Google Project Zero'dan lokihardt
CVE-2017-2538: Trend Micro'nun Zero Day Initiative programında çalışan Richard Zhu (fluorescence)
CVE-2017-2539: Trend Micro'nun Zero Day Initiative programında çalışan Richard Zhu (fluorescence)
CVE-2017-2544: Trend Micro'nun Zero Day Initiative programında çalışan 360 Security (@mj0011sec)
CVE-2017-2547: Google Project Zero'dan lokihardt, Trend Micro'nun Zero Day Initiative programında çalışan Team Sniper (Keen Lab ve PC Mgr)
CVE-2017-6980: Google Project Zero'dan lokihardt
CVE-2017-6984: Google Project Zero'dan lokihardt
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir
Açıklama: WebKit Editor komutlarının işlenmesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-2504: Google Project Zero'dan lokihardt
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir
Açıklama: WebKit kapsayıcı düğümlerinin işlenmesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-2508: Google Project Zero'dan lokihardt
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir
Açıklama: Pageshow etkinliklerinin işlenmesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-2510: Google Project Zero'dan lokihardt
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir
Açıklama: Önbelleğe alınan WebKit çerçevelerinin işlenmesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-2528: Google Project Zero'dan lokihardt
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi rastgele kod yürütülmesine neden olabilir
Açıklama: Birden çok bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2536: Trend Micro'nun Zero Day Initiative programında çalışan Samuel Groß ve Niklas Baumstark
WebKit
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Kötü amaçlarla oluşturulmuş web içeriğinin işlenmesi siteler arası evrensel betik kullanımına neden olabilir
Açıklama: Çerçeve yüklemesinde bir mantık sorunu vardı. Durum yönetimi iyileştirilerek bu sorun giderildi.
CVE-2017-2549: Google Project Zero'dan lokihardt
WebKit Web Denetleyicisi
İlgili ürünler: iPhone 5 ve sonraki modelleri, iPad 4. nesil ve sonraki modelleri, iPod touch 6. nesil
Etki: Bir uygulama, imzasız kod yürütebilir
Açıklama: Bellek bozulması sorunu, belleğin işlenmesi iyileştirilerek giderildi.
CVE-2017-2499: George Dan (@theninjaprawn)
Ek teşekkür listesi
Çekirdek
HCL Technologies bünyesindeki Aleph Research'ten Orr A.'ya desteği için teşekkür ederiz.
Safari
Flyin9_L'ye (ZhenHui Lee) (@ACITSEC) desteği için teşekkür ederiz.
Apple tarafından üretilmeyen ürünler veya Apple tarafından denetlenmeyen veya test edilmeyen bağımsız web siteleri hakkındaki bilgiler bir öneri veya onay niteliği taşımadan sunulmuştur. Üçüncü taraf web sitelerinin veya ürünlerinin seçilmesi, performansı veya kullanılması konusunda Apple hiçbir sorumluluk kabul etmez. Apple, üçüncü taraf web sitelerinin doğruluğu veya güvenilirliğiyle ilgili herhangi bir beyanda bulunmamaktadır. Ek bilgi için tedarikçi ile irtibat kurun.