iOS 17.1 исправляет эти 18 недостатков безопасности

Apple, уязвимость нулевого дня, безопасность шпионского ПО iOS

Apple выпустила первое крупное обновление для всех пользователей с момента дебюта iOS 17 в сентябре. iOS 17.1 поставляется с рядом исправлений безопасности, и ни одно из них не было идентифицировано как эксплуатируемое до появления исправлений.

Как обычно, Apple поделилась подробностями последних исправлений уязвимостей на своей странице безопасности.

Патчи варьируются от исправления ошибок безопасности в «Контактах», «Локатор», «Ядро», «Пароли», «Фотографии», Siri, «Погода», WebKit и т. д.

К счастью, не было никаких известных сообщений об активном использовании каких-либо недостатков безопасности до того, как Apple выпустила исправления.

Для получения более подробной информации о новых функциях выпусков ознакомьтесь с нашим полным обзором:

Вот полные примечания по исправлению безопасности для iOS 17.1:

Контакты

Доступно для: iPhone XS и новее, iPad Pro 12,9 дюйма 2-го поколения и новее, iPad Pro 10,5 дюйма, iPad Pro 11 дюймов 1-го поколения и новее, iPad Air 3-го поколения и новее, iPad 6-го поколения и новее, а также iPad mini 5-е поколение и позже

Воздействие. Приложение может иметь доступ к конфиденциальным пользовательским данным.

Описание. Проблема конфиденциальности устранена путем улучшенного редактирования личных данных для записей журнала.

CVE-2023-41072: Войцех Регула из SecuRing (wojciechregula.blog) и Чаба Фитцл (@theevilbit) из Offensive Security.

CVE-2023-42857: Ной Роскин-Фрейзи и профессор Дж. (лаборатория ZeroClicks.ai)

CoreAnimation

Воздействие. Приложение может вызвать отказ в обслуживании.

Описание. Проблема устранена путем улучшенной обработки памяти.

CVE-2023-40449: Томи Токикс (@tomitokics) из iTomsn0w

Найди мой

Воздействие. Приложение может считывать конфиденциальную информацию о местоположении.

Описание. Проблема устранена путем улучшенной обработки кэшей.

CVE-2023-40413: Адам М.

ИзображениеIO

Воздействие. Обработка изображения может привести к раскрытию памяти процесса.

Описание. Проблема устранена путем улучшенной обработки памяти.

CVE-2023-40416: JZ.

Семейство IOTextEncryption

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшенной обработки памяти.

CVE-2023-40423: анонимный исследователь.

Ядро

Воздействие. Злоумышленник, уже добившийся выполнения кода ядра, может обойти меры по снижению риска использования памяти ядра.

Описание. Проблема устранена путем улучшенной обработки памяти.

CVE-2023-42849: Линус Хенце из Pinauten GmbH (pinauten.de)

Почтовые черновики

Воздействие. Функция «Скрыть мою электронную почту» может быть неожиданно деактивирована.

Описание. Проблема с несогласованным пользовательским интерфейсом устранена путем улучшенного управления состоянием.

CVE-2023-40408: Гжегож Ригель

mDNSResponder

Воздействие. Устройство может пассивно отслеживаться по его MAC-адресу Wi-Fi.

Описание. Проблема решена путем удаления уязвимого кода.

CVE-2023-42846: Талал Хадж Бакри и Томми Мыск из Mysk Inc. @mysk_co

Ключи доступа

Воздействие. Злоумышленник может получить доступ к паролям без аутентификации.

Описание. Логическая проблема устранена путем улучшенных проверок.

CVE-2023-42847: анонимный исследователь.

Фото

Воздействие. Фотографии в альбоме скрытых фотографий можно было просматривать без аутентификации.

Описание. Проблема аутентификации устранена путем улучшенного управления состоянием.

CVE-2023-42845: Бистрит Дала

Про Рес

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема устранена путем улучшенной обработки памяти.

CVE-2023-42841: Минсюань Ян (@PPPF00L), Happybabywu и Гуан Гун из 360 Института исследования уязвимостей.

Сири

Воздействие. Злоумышленник, имеющий физический доступ, может использовать Siri для доступа к конфиденциальным пользовательским данным.

Описание. Проблема решена путем ограничения возможностей, предлагаемых на заблокированном устройстве.

CVE-2023-41982: Бистр Дала

CVE-2023-41997: Бистр Дала

CVE-2023-41988: Бистрит Дала

Статус бар

Воздействие. Устройство может постоянно не блокироваться.

Описание. Проблема устранена путем улучшенной обработки пользовательского интерфейса.

CVE-2023-40445: Тинг Дин, Джеймс Манц, Омар Шибли, анонимный исследователь, Лоренцо Кавалларо и Гарри Левандовски.

Погода

Воздействие. Приложение может иметь доступ к конфиденциальным пользовательским данным.

CVE-2023-41254: Кристиан Динка из Национальной средней школы компьютерных наук имени Тюдора Виану, Румыния.

Вебкит

Воздействие. Обработка веб-контента может привести к выполнению произвольного кода.

Описание. Проблема устранена путем улучшенной обработки памяти.

Ошибка WebKit: 259836
CVE-2023-40447: 이준성 (Чонсон Ли) из Cross Republic.

Вебкит

Воздействие. Обработка веб-контента может привести к выполнению произвольного кода.

Описание. Проблема использования после освобождения устранена путем улучшенного управления памятью.

Ошибка WebKit: 259890
CVE-2023-41976: 이준성 (Чонсон Ли)

Вебкит

Воздействие. Обработка веб-контента может привести к выполнению произвольного кода.

Описание. Логическая проблема устранена путем улучшенных проверок.

Ошибка WebKit: 260173
CVE-2023-42852: анонимный исследователь.

Модель процесса WebKit

Воздействие. Обработка веб-контента может привести к отказу в обслуживании.

Описание. Проблема устранена путем улучшенной обработки памяти.

Ошибка WebKit: 260757
CVE-2023-41983: 이준성 (Чонсон Ли)

Дополнительное признание

лиархив

Мы хотели бы выразить признательность Баха Наамне за их помощь.

libxml2

Мы хотели бы выразить признательность OSS-Fuzz и Неду Уильямсону из Google Project Zero за помощь.

Диспетчер питания

Мы хотели бы поблагодарить Xia0o0o0o (@Nyaaaaa_ovo) из Калифорнийского университета в Сан-Диего за помощь.

VoiceOver

Мы хотели бы поблагодарить Абхая Кайласию (@abhay_kailasia) из Технологического колледжа Лакшми Нарайна в Бхопале, Индия, за их помощь.

Вебкит

Мы хотели бы выразить признательность анонимному исследователю за помощь.

Информация о продуктах, не производимых Apple, или о независимых веб-сайтах, не контролируемых и не тестируемых Apple, предоставляется без рекомендаций или одобрения. Apple не несет ответственности за выбор, работу или использование сторонних веб-сайтов или продуктов. Apple не делает никаких заявлений относительно точности и надежности сторонних веб-сайтов. Свяжитесь с продавцом для получения дополнительной информации.

Дата публикации:25 октября 2023 г.