Tietoja iOS 18.1:n ja iPadOS 18.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 18.1:n ja iPadOS 18.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuussivulta.

Tietoja iOS 18.1:n ja iPadOS 18.1:n turvallisuussisällöstä

Julkaistu 28.10.2024

Accessibility

Saatavuus: iPhone XS ja sitä uudemmat

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy lukittuun laitteeseen, saattoi pystyä tarkastelemaan arkaluonteisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla todennusta.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Saatavuus: iPhone XS ja uudemmat, iPad Pro (13 tuumaa), iPad Pro (12,9 tuumaa, 3. sukupolvi ja uudemmat), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (7. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: haitallinen appi saattoi pystyä suorittamaan mielivaltaisia oikoteitä ilman käyttäjän suostumusta.

Kuvaus: polun käsittelyongelma ratkaistiin parantamalla logiikkaa.

CVE-2024-44255: nimetön tutkija

AppleAVD

Vaikutus: haitallisen videotiedoston jäsentäminen saattoi aiheuttaa järjestelmän odottamattoman sulkeutumisen

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

Kohta lisätty 1.11.2024

CoreMedia Playback

Vaikutus: haitallinen appi saattoi pystyä käyttämään yksityisiä tietoja.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien käsittelyä.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell (Loadshine Lab)

CoreText

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44240: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

CVE-2024-44302: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

Foundation

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: rajojen ulkopuolisen muistin lukuongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2024-44282: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

ImageIO

Vaikutus: kuvan käsitteleminen saattoi aiheuttaa prosessimuistin paljastumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-44215: Junsung Lee yhteistyössä Trend Micron Zero Day Initiativen kanssa

ImageIO

Vaikutus: haitallisen sähköpostiviestin käsittely saattoi johtaa palvelunestoon.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2024-44297: Jex Amro

IOSurface

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2024-44285: nimetön tutkija

iTunes

Vaikutus: etähyökkääjä saattoi pystyä poistumaan verkkosisällön eristyksestä.

Kuvaus: Mukautetun URL-mallin käsittelyongelma korjattiin parantamalla annettujen tietojen vahvistusta.

CVE-2024-40867: Ziyi Zhou (Shanghai Jiao Tong University), Tianxiao Hou (Shanghai Jiao Tong University)

Kernel

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: tietojen paljastumisen ongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Managed Configuration

Vaikutus: haitallisen varmuuskopiotiedoston palauttaminen saattoi johtaa suojattujen järjestelmätiedostojen muuttumiseen.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien käsittelyä.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Vaikutus: haitallisen varmuuskopiotiedoston palauttaminen saattoi johtaa suojattujen järjestelmätiedostojen muuttumiseen.

Kuvaus: logiikkaongelma on korjattu parantamalla tiedostojen käsittelyä.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta tai vioittaa kernel-muistia.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2024-44277: nimetön tutkija ja Yinyi Wu (@_3ndy1, Dawn Security Lab of JD.com, Inc.)

Safari Downloads

Vaikutus: Hyökkääjä saattoi pystyä käyttämään väärin luottamussuhdetta haitallisen sisällön lataamista varten.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-44259: Narendra Bhati (kyberturvallisuusjohtaja, Suma Soft Pvt. Ltd, Pune, Intia)

Safari Private Browsing

Vaikutus: yksityinen selaus saattaa vuotaa jonkin verran selaushistoriaa.

Kuvaus: tietovuoto-ongelma on ratkaistu lisätarkistuksilla.

CVE-2024-44229: Lucas Di Tomase

SceneKit

Vaikutus: Haitallisen tiedoston käsitteleminen saattoi johtaa keon vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkistuksia.

CVE-2024-44218: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Shortcuts

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Vaikutus: haitallinen appi saattoi päästä rajoitettuihin tiedostoihin oikoteiden avulla.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2024-44269: nimetön tutkija

Siri

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen poistamista.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy, saattoi pystyä käyttämään yhteystietojen kuvia lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2024-40851: Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College of Technology Bhopal India), Srijan Poudel

Siri

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia henkilötietoja.

Kuvaus: logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2024-44263: Kirin (@Pwnrin) ja 7feilee

Siri

Vaikutus: eristetty appi saattaa kyetä käyttämään arkaluontoisia käyttäjätietoja järjestelmälokeissa.

Kuvaus: tietojen paljastumisen ongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2024-44278: Kirin (@Pwnrin)

Spotlight

Vaikutus: hyökkääjä saattoi pystyä katselemaan kiellettyä sisältöä lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2024-44251: Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College of Technology Bhopal India)

Spotlight

Vaikutus: hyökkääjä saattoi pystyä katselemaan kiellettyä sisältöä lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2024-44235: Rizki Maulana (rmrizki.my.id), Dalibor Milanovic, Richard Hyunho Im (@richeeta) yhteistyössä Route Zero Securityn kanssa

VoiceOver

Vaikutus: hyökkääjä saattoi pystyä katselemaan kiellettyä sisältöä lukitulta näytöltä.

Kuvaus: ongelma on ratkaistu rajoittamalla lukitussa laitteessa tarjottuja vaihtoehtoja.

CVE-2024-44261: Braylon (@softwarescool)

WebKit

Vaikutus: haitallisesti laaditun verkkosisällön käsittely saattoi estää sisältöturvallisuuskäytännön täytäntöönpanon.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

WebKit Bugzilla: 278765

CVE-2024-44296: Narendra Bhati (kyberturvallisuusjohtaja, Suma Soft Pvt. Ltd, Pune, Intia)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: muistin vioittumisongelma korjattiin parantamalla annettujen tietojen vahvistamista.

WebKit Bugzilla: 279780

CVE-2024-44244: nimetön tutkija, Q1IQ (@q1iqF) ja P1umer (@p1umer)

Kiitokset

Accessibility

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal Intia), Chi Yuan Changia (ZUSO ART) ja nimimerkkiä taikosoup heidän antamastaan avusta.

App Store

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal Intia), Chi Yuan Changia (ZUSO ART) ja nimimerkkiä taikosoup heidän antamastaan avusta.

Calculator

Haluamme kiittää Kenneth Chewiä hänen antamastaan avusta.

Calendar

Haluamme kiittää nimimerkkiä K宝 (@Pwnrin) hänen antamastaan avusta.

Camera

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia).

Files

Haluamme kiittää Chi Yuan Changia (ZUSO ART), nimimerkkiä taikosoup ja Christian Scalesea heidän antamastaan avusta.

ImageIO

Haluamme kiittää Amir Bazinea ja Karsten Königiä (CrowdStrike Counter Adversary Operations) ja nimetöntä tutkijaa heidän antamastaan avusta.

Messages

Haluamme kiittää Collin Potteria ja nimetöntä tutkijaa heidän antamastaan avusta.

NetworkExtension

Haluamme kiittää Patrick Wardle (DoubleYou & the Objective-See Foundation) hänen antamastaan avusta.

Personalization Services

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia) ja Bistrit Dahalia heidän antamastaan avusta.

Photos

Haluamme kiittää James Robertsonia ja Kamil Bourouibaa heidän antamastaan avusta.

Safari Private Browsing

Haluamme kiittää avusta nimetöntä tutkijaa ja nimimerkkiä r00tdaddy.

Safari Tabs

Haluamme kiittää avusta Jaydev Ahirea.

Security

Haluamme kiittää Bing Shiä, Wenchao Liä ja Xiaolong Baita (Alibaba Group) heidän antamastaan avusta.

Settings

Haluamme kiittää Chi Yuan Changia (ZUSO ART) ja nimimerkkejä taikosoup ja JS heidän antamastaan avusta.

Siri

Haluamme kiittää avusta Bistrit Dahalia.

Spotlight

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, LLNCT Bhopal) C-DAC Thiruvananthapuram Indiaa heidän antamastaan avusta.

Time Zone

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, Intia) ja Siddharth Choubeytä heidän antamastaan avusta.

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 12. marraskuuta 2024