Az iOS 18.2 és az iPadOS 18.2 biztonsági változásjegyzéke

Ez a dokumentum az iOS 18.2 és az iPadOS 18.2 biztonsági változásjegyzékét ismerteti.

Tudnivalók az Apple biztonsági frissítéseiről

Ügyfelei védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.

Ha lehetséges, az Apple biztonsági részlege a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.

A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.

iOS 18.2 és iPadOS 18.2

Kiadási dátum: 2024. december 11.

Accounts

A következőkön érhető el: iPhone XS és újabb modellek, 13 hüvelykes iPad Pro, 12,9 hüvelykes, 3. generációs és újabb iPad Pro, 11 hüvelykes, 1. generációs és újabb iPad Pro, 3. generációs és újabb iPad Air, 7. generációs és újabb iPad, 5. generációs és újabb iPad mini

Érintett terület: A Rejtett album fotóit hitelesítés nélkül is meg lehetett tekinteni a Fotókban

Leírás: Hatékonyabb fájlkezeléssel elhárítottunk egy logikai problémát.

CVE-2024-54488: Benjamin Hornbeck, Skadz (@skadz108), Chi Yuan Chang (ZUSO ART) és taikosoup

Bejegyzés hozzáadva: 2025. január 27.

APFS

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.

CVE-2024-54541: Arsenii Kostromin (0x3c3e) és egy anonim kutató

Bejegyzés hozzáadva: 2025. január 27.

AppleMobileFileIntegrity

Érintett terület: Előfordult, hogy a rosszindulatú alkalmazások privát adatokhoz tudtak hozzáférni.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát.

CVE-2024-54527: Mickey Jin (@patch1t)

Audio

Érintett terület: Előfordult, hogy a hívások csengés közben való elnémítása esetén nem történt meg a némítás

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy inkonzisztens felhasználói felülettel kapcsolatos problémát.

CVE-2024-54503: Micheal Chukwu és egy anonim kutató

Contacts

Érintett terület: Egyes alkalmazások megtekinthettek az Üzenetek és a Mail által automatikusan kitöltött névjegy-információkat a rendszernaplókban

Leírás: A bizalmas információk hatékonyabb eltávolításával megoldottuk a problémát.

CVE-2024-54550: Smi1e (@Smi1eSEC)

Bejegyzés hozzáadva: 2025. január 27.

Crash Reporter

Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni

Leírás: További korlátozásokkal elhárítottunk egy engedélyekkel kapcsolatos hibát.

CVE-2024-54513: anonim kutató

Face Gallery

Érintett terület: Egy bináris rendszerfájllal ujjlenyomatot lehetett készíteni a felhasználó Apple-fiókjáról

Leírás: A releváns jelölők eltávolításával küszöböltük ki a problémát.

CVE-2024-54512: Bistrit Dahal

Bejegyzés hozzáadva: 2025. január 27.

FontParser

Érintett terület: Az ártó szándékkal létrehozott betűtípusok feldolgozása lehetőséget adott a folyamatmemória közzétételére

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54486: Hossein Lotfi (@hosselot,Trend Micro Zero Day Initiative)

ICU

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor a folyamat váratlanul összeomlott

Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli hozzáférési hibát.

CVE-2024-54478: Gary Kwong

Bejegyzés hozzáadva: 2025. január 27.

ImageIO

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy kétszeres felszabadítást előidéző hibát.

CVE-2024-54499: anonim kutató, a Trend Micro Zero Day Initiative közreműködőjeként

Bejegyzés hozzáadva: 2025. január 27.

ImageIO

Érintett terület: Az ártó szándékkal létrehozott képek feldolgozása lehetőséget adott a folyamatmemória közzétételére

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54500: Junsung Lee (a Trend Micro Zero Day Initiative közreműködőjeként)

IOMobileFrameBuffer

Érintett terület: Egyes alkalmazások sérülést tudtak előidézni a koprocesszorhoz tartozó memóriában

Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.

CVE-2024-54517: Ye Zhang (@VAR10CK), Baidu Security

CVE-2024-54518: Ye Zhang (@VAR10CK), Baidu Security

CVE-2024-54522: Ye Zhang (@VAR10CK), Baidu Security

CVE-2024-54523: Ye Zhang (@VAR10CK), Baidu Security

Bejegyzés hozzáadva: 2025. január 27.

Kernel

Érintett terület: Az alkalmazások adott esetben ki tudtak törni a tesztkörnyezetből.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54468: anonim kutató

Bejegyzés hozzáadva: 2025. január 27.

Kernel

Érintett terület: A felhasználói engedélyekkel rendelkező támadók képesek lehettek a kernelmemória olvasására

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy típustévesztési hibát.

CVE-2024-54507: Joseph Ravichandran (@0xjprx), MIT CSAIL

Bejegyzés hozzáadva: 2025. január 27.

Kernel

Érintett terület: A támadók bizonyos esetekben létre tudtak hozni leképezéseket, amelyek lehetővé tették az írásvédett memóriák módosítását

Leírás: További hitelesítéssel hárítottunk el egy versenyhelyzeti problémát.

CVE-2024-54494: sohybbyk

Kernel

Érintett terület: Egyes alkalmazások képesek voltak bizalmas kernelállapotokat kiszivárogtatni

Leírás: Hatékonyabb zárolás révén hárítottunk el egy versenyhelyzeti problémát.

CVE-2024-54510: Joseph Ravichandran (@0xjprx, MIT CSAIL)

Kernel

Érintett terület: Az alkalmazások váratlan rendszerleállást tudtak előidézni, illetve sérülést tudtak okozni a kernelmemóriában

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

CVE-2024-44245: anonim kutató

libexpat

Érintett terület: A távoli támadók bizonyos esetekben váratlan alkalmazásleállást tudtak előidézni, illetve tetszőleges kódot tudtak végrehajtani.

Leírás: Ez egy nyílt forrású kódban található sebezhetőség, és az Apple-szoftver is az érintett projektek között van. A CVE-azonosítót egy külső fél rendelte hozzá. A problémával és a CVE-azonosítóval kapcsolatos további információkért látogasson el a cve.org webhelyre.

CVE-2024-45490

libxpc

Érintett terület: Az alkalmazások adott esetben ki tudtak törni a tesztkörnyezetből.

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54514: anonim kutató

libxpc

Érintett terület: Az alkalmazások magasabb jogosultságokat tudtak szerezni.

Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.

CVE-2024-44225: 风沐云烟 (@binary_fmyy)

Passkeys

Érintett terület: Az automatikus jelszókitöltő funkció időnként kitöltötte a jelszót, miután sikertelen volt a hitelesítés

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54530: Abhay Kailasia (@abhay_kailasia), C-DAC Thiruvananthapuram India, Rakeshkumar Talaviya

Bejegyzés hozzáadva: 2025. január 27.

Passwords

Érintett terület: A magas jogosultságú hálózati pozícióban lévő támadók adott esetben módosítani tudták a hálózati forgalmat

Leírás: Az információk hálózati továbbítása során HTTPS használatával megoldottuk a problémát.

CVE-2024-54492: Talal Haj Bakry és Tommy Mysk (Mysk Inc., @mysk_co)

QuartzCore

Érintett terület: A webes tartalmak feldolgozása szolgáltatásmegtagadáshoz vezethetett

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54497: anonim kutató, Trend Micro Zero Day Initiative közreműködőjeként

Bejegyzés hozzáadva: 2025. január 27.

Safari

Érintett terület: Ha olyan eszközön adtak hozzá egy webhelyet a Safari olvasási listájához, amelyen a Privát átjátszó engedélyezve van, a webhely hozzáférhetett az eredeti IP-címhez

Leírás: A Safariról eredeztethető kérések hatékonyabb útvonalkezelésével orvosoltuk a problémát.

CVE-2024-44246: Jacob Braun

Safari Private Browsing

Érintett terület: A privát böngészés lapjai hitelesítés nélkül is elérhetők

Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.

CVE-2024-54542: Rei (@reizydev), Kenneth Chew

Bejegyzés hozzáadva: 2025. január 27.

SceneKit

Érintett terület: Az ártó szándékkal létrehozott fájlok feldolgozása szolgáltatásmegtagadást idézhetett elő

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

CVE-2024-54501: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Vim

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott fájlok feldolgozásakor sérült a halommemória

CVE-2024-45306

Bejegyzés hozzáadva: 2025. január 27.

VoiceOver

Érintett terület: Az iOS-készülékhez fizikai hozzáféréssel rendelkező támadók a zárolt képernyőről meg tudták tekinteni az értesítések tartalmát

Leírás: További logika hozzáadásával megoldottuk a problémát.

CVE-2024-54485: Abhay Kailasia (@abhay_kailasia), C-DAC Thiruvananthapuram India

WebKit

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor a folyamat váratlanul összeomlott

Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.

WebKit Bugzilla: 278497

CVE-2024-54479: Seunghyun Lee

WebKit Bugzilla: 281912

CVE-2024-54502: Brendon Tiszka (Google Project Zero)

WebKit

Érintett terület: Előfordult, hogy az ártó szándékkal létrehozott webes tartalmak feldolgozásakor a folyamat váratlanul összeomlott

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 282180

CVE-2024-54508: linjy (HKUS3Lab) és chluo (WHUSecLab), Xiangwei Zhang (Tencent Security YUNDING LAB)

WebKit

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása a memória sérüléséhez vezethetett

Leírás: Hatékonyabb memóriakezeléssel elhárítottunk egy típustévesztési hibát.

WebKit Bugzilla: 282661

CVE-2024-54505: Gary Kwong

WebKit

Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozása a memória sérüléséhez vezethetett

Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.

WebKit Bugzilla: 277967

CVE-2024-54534: Tashita Software Security

WebKit Bugzilla: 282450

CVE-2024-54543: Lukas Bernhard, Gary Kwong és egy anonim kutató

Bejegyzés frissítve: 2025. január 27.

További köszönetnyilvánítás

Accessibility

Köszönjük Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, India), Andr.Ess, Jake Derouin és Jason Gendron (@gendron_jason) segítségét.

App Protection

Köszönjük Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College Of Technology, Bhopal, India) segítségét.

Calendar

Köszönjük Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College Of Technology, Bhopal, India) segítségét.

FaceTime

Köszönjük 椰椰 segítségét.

FaceTime Foundation

Köszönjük Joshua Pellecchia segítségét.

Family Sharing

Köszönjük Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, India) és J T segítségét.

Files

Köszönjük Christian Scalese segítségét.

Bejegyzés hozzáadva: 2025. január 27.

Notes

Köszönjük Katzenfutter segítségét.

Photos

Köszönjük Bistrit Dahal, Chi Yuan Chang (ZUSO ART), taikosoup, Finlay James (@Finlay1010), Rizki Maulana (rmrizki.my.id) és Srijan Poudel segítségét.

Photos Storage

Köszönjük Jake Derouin (jakederouin.com) segítségét.

Proximity

Köszönjük Junming C. (@Chapoly1305) és Prof. Qiang Zeng (George Mason University) segítségét.

Quick Response

Köszönjük egy anonim kutató segítségét.

Safari

Köszönjük Jayateertha Guruprasad segítségét.

Safari Private Browsing

Köszönjük Richard Hyunho Im (@richeeta, Route Zero Security) segítségét.

Settings

Köszönjük Akshith Muddasani, Bistrit Dahal, Emanuele Slusarz és Abhishek Kanaujia segítségét.

Bejegyzés frissítve: 2025. január 27.

Siri

Köszönjük Srijan Poudel és Bistrit Dahal segítségét.

Bejegyzés frissítve: 2025. január 27.

Spotlight

Köszönjük Abhay Kailasia (@abhay_kailasia, LNCT Bhopal és C-DAC Thiruvananthapuram, India) segítségét.

Status Bar

Köszönjük Abhay Kailasia (@abhay_kailasia, Lakshmi Narain College of Technology, Bhopal, India) és Andr.Ess segítségét.

Swift

Köszönjük Marc Schoenefeld, Dr. rer. nat. segítségét.

Time Zone

Köszönjük Abhay Kailasia (@abhay_kailasia, LNCT Bhopal és C-DAC Thiruvananthapuram, India) segítségét.

WebKit

Köszönjük Hafiizh segítségét.

WindowServer

Köszönjük Felix Kratz segítségét.

A nem az Apple által gyártott termékekre, illetve az Apple ellenőrzésén kívül eső vagy általa nem tesztelt független webhelyekre vonatkozó információk nem tekinthetők javaslatoknak vagy ajánlásoknak. Az Apple nem vállal felelősséget a harmadik felek webhelyeinek és termékeinek kiválasztására, teljesítményére, illetve használatára vonatkozólag. Az Apple nem garantálja, hogy a harmadik felek webhelyei pontosak vagy megbízhatóak. Forduljon az adott félhez további információkért.

Közzététel dátuma: 2025. február 01.