Проблеми системи безпеки, які усунено в оновленнях iOS 16.7.8 та iPadOS 16.7.8

У цьому документі описано проблеми системи безпеки, які усунено в оновленнях iOS 16.7.8 та iPadOS 16.7.8.

Відомості про оновлення системи безпеки Apple

Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски див. в статті Оновлення системи безпеки Apple.

У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.

Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.

iOS 16.7.8 та iPadOS 16.7.8

Випущено 13 травня 2024 р.

Core Data

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірки змінних середовища.

CVE-2024-27805: Kirin (@Pwnrin) і 小来来 (@Smi1eSEC)

Запис додано 10 червня 2024 р.

CoreMedia

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може виконувати довільний код із привілеями ядра.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-27817: pattern-f (@pattern_F_) з Ant Security Light-Year Lab

Запис додано 10 червня 2024 р.

CoreMedia

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: обробка файлу може призводити до несподіваного завершення роботи програми або виконання довільного коду.

Опис: проблему записування за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.

CVE-2024-27831: Amir Bazine і Karsten König із CrowdStrike Counter Adversary Operations

Запис додано 10 червня 2024 р.

Foundation

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: проблему з логікою вирішено завдяки вдосконаленню перевірок.

CVE-2024-27789: Mickey Jin (@patch1t)

IOHIDFamily

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: непривілейована програма може реєструвати натискання клавіш в інших програмах, зокрема тих, які використовують безпечний режим введення.

Опис: цю проблему вирішено завдяки додатковим перевіркам на відповідність вимогам.

CVE-2024-27799: анонімний дослідник

Запис додано 10 червня 2024 р.

Kernel

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: користувач може спричинити несподіване завершення роботи програми або виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-27818: pattern-f (@pattern_F_) з Ant Security Light-Year Lab

Запис додано 10 червня 2024 р.

Kernel

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: зловмисник, який уже дійшов до виконання коду в ядрі, може обходити засоби захисту пам’яті ядра.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

CVE-2024-27840: анонімний дослідник

Запис додано 10 червня 2024 р.

Mail

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: зловмисник із фізичним доступом може спричинити витік облікових даних Пошти.

Опис: проблему з автентифікацією усунено завдяки поліпшенню керування станами.

CVE-2024-23251: Gil Pedersen

Запис додано 10 червня 2024 р.

Mail

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: шкідливий електронний лист може ініціювати виклики FaceTime без дозволу користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-23282: Dohyun Lee (@l33d0hyun)

Запис додано 10 червня 2024 р.

Messages

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: обробка шкідливого повідомлення може призводити до відмови в обслуговуванні.

Опис: проблему вирішено шляхом видалення вразливого коду.

CVE-2024-27800: Daniel Zajork і Joshua Zajork

Запис додано 10 червня 2024 р.

Metal

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: обробка шкідливого файлу може призводити до несподіваного завершення роботи програми або виконання довільного коду.

Опис: проблему з читанням за межами виділеної області пам’яті усунено завдяки вдосконаленню перевірки вводу.

CVE-2024-27802: Meysam Firouzi (@R00tkitsmm), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»

Запис додано 10 червня 2024 р.

RTKit

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: зловмисник із довільними можливостями зчитування та запису ядра може обійти захист пам’яті ядра. Компанії Apple відомо, що цією проблемою могли користуватися.

Опис: проблему з пошкодженням даних у пам’яті вирішено завдяки вдосконаленню перевірки.

CVE-2024-23296

Shortcuts

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: швидка команда може мати змогу використовувати конфіденційні дані з певними діями, не питаючи дозвіл у користувача.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-27855: анонімний дослідник

Запис додано 10 червня 2024 р.

Spotlight

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може отримувати доступ до конфіденційних даних користувача.

Опис: цю проблему вирішено завдяки поліпшенню очищення середовища.

CVE-2024-27806

Запис додано 10 червня 2024 р.

Symptom Framework

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може обходити реєстрацію даних для Звіту про приватність програм.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-27807: Romy R.

Запис додано 10 червня 2024 р.

Sync Services

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: програма може обходити параметри приватності.

Опис: цю проблему вирішено завдяки вдосконаленню перевірок

CVE-2024-27847: Mickey Jin (@patch1t)

Запис додано 10 червня 2024 р.

Voice Control

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: користувач може підвищувати рівень привілеїв.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

CVE-2024-27796: ajajfxhj

Запис додано 10 червня 2024 р.

WebKit

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: шкідлива вебсторінка може ідентифікувати користувача.

Опис: проблему вирішено завдяки додаванню додаткової логіки.

WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos із Mozilla

Запис додано 10 червня 2024 р.

WebKit

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: обробка шкідливого вебвмісту може призводити до виконання довільного коду.

Опис: проблему цілочисельного переповнення вирішено завдяки вдосконаленню перевірки вводу.

WebKit Bugzilla: 271491
CVE-2024-27833: Manfred Paul (@_manfp), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»

Запис додано 10 червня 2024 р.

WebKit

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: зловмисник із довільними можливостями зчитування й запису може обійти автентифікацію вказівника.

Опис: проблему вирішено завдяки вдосконаленню перевірок.

WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp), що співпрацює з компанією Trend Micro в межах ініціативи Zero Day Initiative

Запис додано 10 червня 2024 р.

WebKit Web Inspector

Цільові продукти: iPhone 8, iPhone 8 Plus, iPhone X, iPad (5-го покоління), iPad Pro 9,7 дюйма та iPad Pro 12,9 дюйма (1-го покоління)

Вплив: обробка вебконтенту може призводити до виконання довільного коду.

Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.

WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson з underpassapp.com

Запис додано 10 червня 2024 р.

 

Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.

Дата опублікування: