关于 iOS 14.3 和 iPadOS 14.3 的安全性内容

这篇文稿介绍了 iOS 14.3 和 iPadOS 14.3 的安全性内容。

关于 Apple 安全性更新

为保护我们的客户，在没有进行调查并推出修补程序或发行版本之前，Apple 不会透露、讨论或确认安全性问题。“Apple 安全性更新”页面上列出了近期发布的版本。

Apple 安全性文稿会尽可能以 CVE-ID 来引用安全漏洞。

如果需要了解有关安全性的更多信息，请参阅“Apple 产品安全性”页面。

iOS 14.3 和 iPadOS 14.3

App Store

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：企业级应用程序安装提示中可能会显示错误的域

描述：已通过改进状态管理解决逻辑问题。

CVE-2020-29613：Ryan Pickren (ryanpickren.com)

Audio

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的音频文件可能会泄露受限内存

描述：已通过改进输入验证解决越界读取问题。

CVE-2020-29610：匿名研究人员与 Trend Micro Zero Day Initiative 合作发现

CoreAudio

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的音频文件可能会导致任意代码执行

描述：已通过改进边界检查解决越界写入问题。

CVE-2020-27948：蚂蚁集团光年安全实验室的 JunDong Xie

FontParser

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：远程攻击者或许能够泄漏内存

描述：已通过改进边界检查解决越界读取问题。

CVE-2020-29608：蚂蚁集团光年安全实验室的 Xingwei Lin

FontParser

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的字体可能会导致进程内存泄漏

描述：已通过改进状态管理解决信息泄露问题。

CVE-2020-27946：Google Project Zero 的 Mateusz Jurczyk

FontParser

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的字体文件可能会导致任意代码执行

描述：处理字体文件时存在内存损坏问题。已通过改进输入验证解决这个问题。

CVE-2020-27943：Google Project Zero 的 Mateusz Jurczyk

CVE-2020-27944：Google Project Zero 的 Mateusz Jurczyk

CVE-2020-29624：Google Project Zero 的 Mateusz Jurczyk

ImageIO

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的图像可能会导致服务遭拒

描述：已通过改进输入验证解决越界读取问题。

CVE-2020-29615：蚂蚁集团光年安全实验室的 Xingwei Lin

ImageIO

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的图像可能会导致堆损坏

描述：已通过改进输入验证解决越界读取问题。

CVE-2020-29617：蚂蚁集团光年安全实验室的 XingWei Lin

CVE-2020-29619：蚂蚁集团光年安全实验室的 XingWei Lin

ImageIO

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的图像可能会导致任意代码执行

描述：已通过改进输入验证解决越界读取问题。

CVE-2020-29618：蚂蚁集团光年安全实验室的 Xingwei Lin

ImageIO

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的图像可能会导致任意代码执行

描述：已通过改进边界检查解决越界写入问题。

CVE-2020-29611：Alexandru-Vlad Niculae 与 Google Project Zero 合作发现

Model I/O

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的文件可能会导致堆损坏

描述：已通过改进检查解决这个问题。

CVE-2020-29614：Topsec Alpha Lab 的 ZhiWei Sun(@5n1p3r0010)

Model I/O

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的 USD 文件可能会导致应用程序意外终止或任意代码执行

描述：已通过改进内存处理解决缓冲区溢出问题。

CVE-2020-9972：Cisco Talos 的 Aleksandar Nikolic

Security

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：未经授权的代码执行可能会导致违反认证策略

描述：已通过改进检查解决这个问题。

CVE-2020-27951：Apple

WebKit Storage

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：用户可能无法完全删除浏览历史记录

描述：“清除历史记录与网站数据”没有清除历史记录。已通过改进数据删除操作解决这个问题。

CVE-2020-29623：OvalTwo LTD 的 Simon Hunt

WebRTC

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：处理恶意制作的网页内容可能会导致任意代码执行

描述：已通过改进内存管理解决“释放后使用”问题。

CVE-2020-15969：一位匿名研究人员

Wi-Fi

适用于：iPhone 6s 及更新机型、iPad Air 2 及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）

影响：恶意应用程序或许能够以内核权限执行任意代码

描述：已通过改进大小验证解决缓冲区溢出问题。

CVE-2021-31077：CompSec@SNU 的 Lee

特别鸣谢

CoreAudio

由衷感谢蚂蚁集团光年安全实验室的 JunDong Xie 和 Xingwei Lin 为我们提供的协助。