關於 iOS 13.2 和 iPadOS 13.2 的安全性內容

本文說明 iOS 13.2 和 iPadOS 13.2 的安全性內容。

關於 Apple 安全性更新

為保障客戶的安全，Apple 在進行調查並提供修補程式或版本之前，不會揭露、討論或確認安全性問題。最新版本列於「Apple 安全性更新」頁面上。

Apple 安全性文件會盡可能以 CVE-ID 參照安全漏洞。

如需安全性的詳細資訊，請參閱 Apple 產品安全性頁面。

iOS 13.2 和 iPadOS 13.2

帳號

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：遠端攻擊者可能得以洩漏記憶體

說明：改進輸入驗證機制後，已解決超出界限的讀取問題。

CVE-2019-8787：達姆施塔特工業大學（Technische Universität Darmstadt）所屬 Secure Mobile Networking Lab 的 Steffen Klee

AirDrop

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：AirDrop 傳輸可能會在「所有人」模式下被意外接受

說明：改進驗證機制後，已解決邏輯問題。

CVE-2019-8796：加州大學柏克萊分校（UC Berkeley）的 Allison Husain

App Store

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：本機攻擊者可能得以在不具有效憑證的情況下，登入先前已登入使用者的帳號。

說明：改進狀態管理機制後，已解決認證問題。

CVE-2019-8803：Kiyeon An、차민규（CHA Minkyu）

相關聯的網域

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：不當處理 URL 可能會導致資料洩漏

說明：剖析 URL 時出現問題。改進輸入驗證機制後，已解決此問題。

CVE-2019-8788：Pakastin 的 Juha Lindstedt、Mirko Tanania、Zero Keyboard Ltd 的 Rauli Rikama

音訊

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以系統權限執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2019-8785：Google Project Zero 的 Ian Beer

CVE-2019-8797：08Tc3wBB（與 SSD Secure Disclosure 合作）

AVEVideoEncoder

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以系統權限執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2019-8795：08Tc3wBB（與 SSD Secure Disclosure 合作）

書籍

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：剖析惡意製作的 iBooks 檔案，可能導致使用者資訊洩露

說明：處理符號連結時，出現驗證問題。改進符號連結的驗證機制後，已解決此問題。

CVE-2019-8789：KU Leuven imec-DistriNet 的 Gertjan Franken

聯絡資訊

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：處理惡意製作的聯絡資訊可能導致 UI 偽造問題

說明：改進狀態管理機制後，已解決不一致使用者介面問題。

CVE-2017-7152：Thinking Objects GmbH（to.com）的 Oliver Paukstadt

檔案系統事件

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以系統權限執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2019-8798：ABC Research s.r.o.（與 Trend Micro 的 Zero Day Initiative 計劃合作）

顯示卡驅動程式

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以系統權限執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2019-8784：Webinar, LLC 的 Vasiliy Vasilyev 和 Ilya Finogeev

核心

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能得以讀取受限制的記憶體

說明：改進輸入清理機制後，已解決驗證問題。

CVE-2019-8794：08Tc3wBB（與 SSD Secure Disclosure 合作）

核心

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以核心權限執行任意程式碼

說明：改進記憶體處理機制後，已解決記憶體損毀問題。

CVE-2019-8786：Georgia Tech 的 Wen Xu、Microsoft Offensive Security 研究實習生

核心

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：應用程式可能以核心權限執行任意程式碼

說明：改進鎖定機制後，已解決記憶體損毀漏洞問題。

CVE-2019-8829：Google Project Zero 的 Jann Horn

設定輔助程式

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：位於實體裝置附近的攻擊者可能得以在裝置設定期間強制使用者進入惡意 Wi-Fi 網路

說明：已解決 Wi-Fi 網路配置設定中的不一致問題。

CVE-2019-8804：Zimperium, Inc 的 Christy Philip Mathew

螢幕錄製

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：本機使用者可能得以在沒有看見螢幕錄製指示的情況下錄製螢幕畫面

說明：在決定何時顯示螢幕錄製指示時，出現一致性的問題。改進狀態管理機制後，已解決此問題。

CVE-2019-8793：Lake Forrest Prep School 的 Ryan Jenkins

WebKit

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：處理惡意製作的網頁內容可能導致全域跨網站工序指令問題

說明：改進狀態管理機制後，已解決邏輯問題。

CVE-2019-8813：匿名研究員

WebKit

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：處理惡意製作的網頁內容可能導致執行任意程式碼

說明：改進記憶體處理機制後，已解決多個記憶體損毀問題。

CVE-2019-8782：LINE+ Security Team 的 Cheolung Lee

CVE-2019-8783：LINE+ Graylab Security Team 的 Cheolung Lee

CVE-2019-8808：OSS-Fuzz 發現

CVE-2019-8811：Georgia Tech SSLab 的 Soyeon Park

CVE-2019-8812：螞蟻金服巴斯光年安全實驗室的 JunDong Xie

CVE-2019-8814：LINE+ Security Team 的 Cheolung Lee

CVE-2019-8816：Georgia Tech SSLab 的 Soyeon Park

CVE-2019-8819：LINE+ Security Team 的 Cheolung Lee

CVE-2019-8820：Google Project Zero 的 Samuel Groß

CVE-2019-8821：Google Project Zero 的 Sergei Glazunov

CVE-2019-8822：Google Project Zero 的 Sergei Glazunov

CVE-2019-8823：Google Project Zero 的 Sergei Glazunov

WebKit

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：參訪惡意製作的網站可能會洩漏使用者曾造訪的網站

說明：HTTP 參照標頭可能會被用來洩漏瀏覽記錄。將所有第三方參照降級至其來源後，已解決此問題。

CVE-2019-8827：Google Security Team 的 Artur Janc、Krzysztof Kotowicz、Lukas Weichselbaum 和 Roberto Clapis

WebKit 程序模型

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：處理惡意製作的網頁內容可能導致執行任意程式碼

說明：改進記憶體處理機制後，已解決多個記憶體損毀問題。

CVE-2019-8815：Apple

Wi-Fi

適用於：iPhone 6s 和後續機型、iPad Air 2 和後續機型、iPad mini 4 和後續機型，以及 iPod touch 第 7 代

影響：Wi-Fi 訊號範圍內的攻擊者可能得以查看一小部分的網路流量

說明：處理狀態轉換時，出現邏輯問題。改進狀態管理機制後，已解決此問題。

CVE-2019-15126：ESET 的 Milos Cermak

特別鳴謝

CFNetwork

我們要感謝 Google 的 Lily Chen 提供協助。

核心

我們要感謝 Swisscom CSIRT 的 Daniel Roethlisberger、Google Project Zero 的 Jann Horn 提供協助。

WebKit

我們要感謝騰訊安全玄武實驗室的 Dlive，以及奇安信集團網神 Codesafe Team 的 Zhiyi Zhang 提供協助。