Sobre o conteúdo de segurança do iOS 18.2 e iPadOS 18.2

Este documento descreve o conteúdo de segurança do iOS 18.2 e iPadOS 18.2.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página de versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para obter mais informações sobre segurança, consulte a página Segurança do produto Apple.

iOS 18.2 e iPadOS 18.2

Lançado em 11 de dezembro de 2024

Accounts

Disponível para: iPhone XS e posterior, iPad Pro de 13 polegadas, iPad Pro de 12,9 polegadas (3ª geração) e posterior, iPad Pro de 11 polegadas (1ª geração) e posterior, iPad Air (3ª geração) e posterior, iPad (7ª geração) e posterior e iPad mini (5ª geração) e posterior

Impacto: as fotos no álbum de fotos ocultas podem ser visualizadas sem autenticação

Descrição: um problema de lógica foi resolvido por meio de melhorias no processamento de arquivos.

CVE-2024-54488: Benjamin Hornbeck, Skadz (@skadz108), Chi Yuan Chang da ZUSO ART e taikosoup

Entrada adicionada em 27 de janeiro de 2025

APFS

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-54541: Arsenii Kostromin (0x3c3e) e um pesquisador anônimo

Entrada adicionada em 27 de janeiro de 2025

AppleMobileFileIntegrity

Impacto: um app mal-intencionado pode ter acesso a informações privadas

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54526: Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54527: Mickey Jin (@patch1t)

Audio

Impacto: colocar uma chamada do no mudo enquanto está chamando pode não silenciar a chamada

Descrição: um problema de interface de usuário inconsistente foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-54503: Micheal Chukwu e um pesquisador anônimo

Contacts

Impacto: um app pode conseguir visualizar informações de contato preenchidas automaticamente dos apps Mensagens e Mail em registros do sistema

Descrição: esse problema foi resolvido por meio de melhorias na redação de informações confidenciais.

CVE-2024-54550: Smi1e (@Smi1eSEC)

Entrada adicionada em 27 de janeiro de 2025

Crash Reporter

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2024-54513: pesquisador anônimo

Face Gallery

Impacto: um binário de sistema pode ser usado para imprimir a impressão digital da Conta Apple de um usuário

Descrição: o problema foi resolvido removendo as sinalizações relevantes.

CVE-2024-54512: Bistrit Dahal

Entrada adicionada em 27 de janeiro de 2025

FontParser

Impacto: processar uma fonte criada com códigos maliciosos pode causar a divulgação da memória de processo

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54486: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro

ICU

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema de acesso fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2024-54478: Gary Kwong

Entrada adicionada em 27 de janeiro de 2025

ImageIO

Impacto: processar uma imagem criada com códigos maliciosos pode levar à execução arbitrária de códigos

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2024-54499: anônimo em parceria com a Zero Day Initiative da Trend Micro

Entrada adicionada em 27 de janeiro de 2025

ImageIO

Impacto: processar uma imagem criada com códigos maliciosos poderia resultar na divulgação da memória de processamento

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54500: Junsung Lee em parceria com a Zero Day Initiative da Trend Micro

IOMobileFrameBuffer

Impacto: um app pode corromper a memória do coprocessador

Descrição: o problema foi resolvido por meio de melhorias nas verificações de limites.

CVE-2024-54517: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54518: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54522: Ye Zhang (@VAR10CK) da Baidu Security

CVE-2024-54523: Ye Zhang (@VAR10CK) da Baidu Security

Entrada adicionada em 27 de janeiro de 2025

Kernel

Impacto: um app pode conseguir sair de sua área restrita

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54468: pesquisador anônimo

Entrada adicionada em 27 de janeiro de 2025

Kernel

Impacto: um invasor com privilégios de usuário pode conseguir ler a memória kernel

Descrição: um problema de confusão de tipos foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-54507: Joseph Ravichandran (@0xjprx) do MIT CSAIL

Entrada adicionada em 27 de janeiro de 2025

Kernel

Impacto: um invasor poderia ser capaz de criar um mapeamento de memória de somente leitura que podia ser gravado

Descrição: uma condição de corrida foi resolvida por meio de validação adicional.

CVE-2024-54494: sohybbyk

Kernel

Impacto: um app pode causar vazamento de estados confidenciais do kernel

Descrição: uma condição de corrida foi resolvida por meio de melhorias no bloqueio.

CVE-2024-54510: Joseph Ravichandran (@0xjprx) do MIT CSAIL

Kernel

Impacto: um app pode causar o encerramento inesperado do sistema ou corromper a memória do kernel

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2024-44245: pesquisador anônimo

libexpat

Impacto: um invasor remoto pode causar o encerramento inesperado de apps ou a execução arbitrária de códigos

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-45490

libxpc

Impacto: um app pode conseguir sair de sua área restrita

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54514: pesquisador anônimo

libxpc

Impacto: um app pode obter privilégios elevados

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2024-44225: 风沐云烟(@binary_fmyy)

Passkeys

Impacto: o preenchimento automático de senha pode preencher senhas após falha na autenticação

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54530: Abhay Kailasia (@abhay_kailasia) da C-DAC Thiruvananthapuram India, Rakeshkumar Talaviya

Entrada adicionada em 27 de janeiro de 2025

Passwords

Impacto: um invasor em uma posição de rede privilegiada pode alterar o tráfego de rede

Descrição: este problema foi resolvido pelo uso de HTTPS ao enviar informações pela rede.

CVE-2024-54492: Talal Haj Bakry e Tommy Mysk da Mysk Inc. (@mysk_co)

QuartzCore

Impacto: o processamento de conteúdo da web pode levar a uma negação de serviço

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54497: anônimo em parceria com a Zero Day Initiative da Trend Micro

Entrada adicionada em 27 de janeiro de 2025

Safari

Impacto: em um dispositivo com Retransmissão Privada ativada, adicionar um site à Lista de Leitura do Safari pode revelar o endereço IP de origem para o site

Descrição: o problema foi resolvido com o melhor roteamento de solicitações originadas pelo Safari.

CVE-2024-44246: Jacob Braun

Safari Private Browsing

Impacto: as abas de navegação privada podem ser acessadas sem autenticação

Descrição: um problema de autenticação foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2024-54542: Rei (@reizydev), Kenneth Chew

Entrada adicionada em 27 de janeiro de 2025

SceneKit

Impacto: processar um arquivo criado com códigos maliciosos pode resultar em negação de serviço

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2024-54501: Michael DePlante (@izobashi) da Zero Day Initiative da Trend Micro

Vim

Impacto: processar um arquivo criado com códigos maliciosos pode causar o corrompimento do heap

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-45306

Entrada adicionada em 27 de janeiro de 2025

VoiceOver

Impacto: um invasor com acesso físico a um dispositivo iOS pode ser visualizar o conteúdo da notificação por meio da tela bloqueada

Descrição: o problema foi resolvido por meio da inclusão de lógica adicional.

CVE-2024-54485: Abhay Kailasia (@abhay_kailasia) da C-DAC Thiruvananthapuram India

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

WebKit Bugzilla: 278497

CVE-2024-54479: Seunghyun Lee

WebKit Bugzilla: 281912

CVE-2024-54502: Brendon Tiszka do Google Project Zero

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 282180

CVE-2024-54508: linjy do HKUS3Lab e chluo do WHUSecLab, Xiangwei Zhang do Tencent Security YUNDING LAB

WebKit

Impacto: o processamento de conteúdo da web criado com códigos maliciosos pode resultar na corrupção de memória

Descrição: um problema de confusão de tipos foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 282661

CVE-2024-54505: Gary Kwong

WebKit

Impacto: o processamento de conteúdo da web criado com códigos maliciosos pode resultar na corrupção de memória

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 277967

CVE-2024-54534: Tashita Software Security

WebKit Bugzilla: 282450

CVE-2024-54543: Lukas Bernhard, Gary Kwong e um pesquisador anônimo

Entrada atualizada em 27 de janeiro de 2025

Outros reconhecimentos

Accessibility

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal India, Andr.Ess, Jake Derouin, Jason Gendron (@gendron_jason) pela ajuda.

App Protection

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, pela ajuda.

Calendar

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, pela ajuda.

FaceTime

Gostaríamos de agradecer a 椰椰 pela ajuda.

FaceTime Foundation

Gostaríamos de agradecer a Joshua Pellecchia pela ajuda.

Family Sharing

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal Índia, J T, pela ajuda.

Files

Gostaríamos de agradecer a Christian Scalese pela ajuda.

Entrada adicionada em 27 de janeiro de 2025

Notes

Gostaríamos de agradecer a Katzenfutter pela ajuda.

Photos

Gostaríamos de agradecer a Bistrit Dahal, Chi Yuan Chang da ZUSO ART e taikosoup, Finlay James (@Finlay1010), Rizki Maulana (rmrizki.my.id), Srijan Poudel pela ajuda.

Photos Storage

Gostaríamos de agradecer a Jake Derouin (jakederouin.com) pela ajuda.

Proximity

Gostaríamos de agradecer a Junming C. (@Chapoly1305) e Prof. Qiang Zeng da George Mason University pela ajuda.

Quick Response

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

Safari

Gostaríamos de agradecer a Jayateertha Guruprasad pela ajuda.

Safari Private Browsing

Gostaríamos de agradecer a Richard Hyunho Im (@richeeta) com a Route Zero Security pela ajuda.

Settings

Gostaríamos de agradecer a Akshith Muddasani, Bistrit Dahal, Emanuele Slusarz e Abhishek Kanaujia pela ajuda.

Entrada atualizada em 27 de janeiro de 2025

Siri

Queremos agradecer a Srijan Poudel e Bistrit Dahal pela ajuda.

Entrada atualizada em 27 de janeiro de 2025

Spotlight

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da LNCT Bhopal e C-DAC Thiruvananthapuram Índia pela ajuda.

Status Bar

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, Andr.Es, pela ajuda.

Swift

Gostaríamos de reconhecer Marc Schoenefeld, Dr. rer. nat., pela ajuda.

Time Zone

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da LNCT Bhopal e C-DAC Thiruvananthapuram Índia pela ajuda.

WebKit

Gostaríamos de agradecer a Hafiizh pela ajuda.

WindowServer

Gostaríamos de agradecer a Felix Kratz pela ajuda.

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: 01 de fevereiro de 2025