Acerca dos conteúdos de segurança do iOS 18.1 e iPadOS 18.1

Este documento descreve os conteúdos de segurança do iOS 18.1 e iPadOS 18.1.

Acerca das atualizações de segurança da Apple

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação e não estiverem disponíveis as correções ou os lançamentos necessários. Os lançamentos recentes estão listados na página Lançamentos de segurança da Apple.

Sempre que possível, os documentos de segurança da Apple designam as vulnerabilidades através de ID CVE.

Para obter mais informações acerca da segurança, consulte a página Segurança dos produtos Apple.

Acerca dos conteúdos de segurança do iOS 18.1 e iPadOS 18.1

Data de lançamento: 28 de outubro de 2024

Accessibility

Disponível para: iPhone XS e posterior

Impacto: um atacante com acesso físico a um dispositivo bloqueado poderá conseguir ver informações confidenciais do utilizador

Descrição: o problema foi resolvido através da autenticação melhorada.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Disponível para: iPhone XS e posterior, iPad Pro de 13 polegadas, iPad Pro de 12,9 polegadas (3.ª geração e posterior), iPad Pro de 11 polegadas (1.ª geração e posterior), iPad Air (3.ª geração e posterior), iPad (7.ª geração e posterior) e iPad mini (5.ª geração e posterior)

Impacto: uma app maliciosa poderá conseguir executar atalhos arbitrários sem consentimento do utilizador

Descrição: foi resolvido um problema de gestão de caminhos através da lógica melhorada.

CVE-2024-44255: um investigador anónimo

AppleAVD

Impacto: a análise de um ficheiro de vídeo criado com intuito malicioso poderá provocar o encerramento inesperado do sistema

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2024-44232: Ivan Fratric do Google Project Zero

CVE-2024-44233: Ivan Fratric do Google Project Zero

CVE-2024-44234: Ivan Fratric do Google Project Zero

Entrada adicionada a 1 de novembro de 2024

CoreMedia Playback

Impacto: uma app maliciosa poderá conseguir aceder a informações privadas

Descrição: este problema foi resolvido através do tratamento melhorado de ligações simbólicas.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell do Loadshine Lab

CoreText

Impacto: o processamento de um tipo de letra criado com intuito malicioso poderá provocar a divulgação da memória de processamento

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-44240: Hossein Lotfi (@hosselot) do programa Zero Day Initiative da Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) do programa Zero Day Initiative da Trend Micro

Foundation

Impacto: a análise de um ficheiro poderá provocar a divulgação de informações do utilizador

Descrição: foi resolvido um problema de leitura fora dos limites através da validação melhorada da entrada.

CVE-2024-44282: Hossein Lotfi (@hosselot) do programa Zero Day Initiative da Trend Micro

ImageIO

Impacto: o processamento de uma imagem poderá provocar a divulgação da memória de processamento

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2024-44215: Junsung Lee em colaboração com o programa Zero Day Initiative da Trend Micro

ImageIO

Impacto: o processamento de um criado com intuito malicioso poderá causar uma recusa de serviço

Descrição: o problema foi resolvido através de verificações melhoradas dos limites.

CVE-2024-44297: Jex Amro

IOSurface

Impacto: uma app poderá conseguir provocar um encerramento inesperado do sistema ou danificar a memória do kernel

Descrição: foi resolvido um problema do tipo "use after free" (utilização após libertação de memória) através da gestão melhorada da memória.

CVE-2024-44285: um investigador anónimo

iTunes

Impacto: um atacante remoto poderá conseguir infringir a sandbox de conteúdos web

Descrição: foi resolvido um problema com o processamento do esquema de URL personalizado através da validação melhorada da entrada.

CVE-2024-40867: Ziyi Zhou (@Shanghai Jiao Tong University), Tianxiao Hou (@Shanghai Jiao Tong University)

Kernel

Impacto: uma app poderá conseguir divulgar o estado confidencial do kernel

Descrição: um problema de divulgação de informações foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Managed Configuration

Impacto: restaurar um ficheiro de cópia de segurança criado com intuito malicioso poderá levar à modificação de ficheiros protegidos do sistema

Descrição: este problema foi resolvido através do tratamento melhorado de ligações simbólicas.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Impacto: restaurar um ficheiro de cópia de segurança criado com intuito malicioso poderá levar à modificação de ficheiros protegidos do sistema

Descrição: foi resolvido um problema de lógica através de um processamento melhorado do ficheiro.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Impacto: uma app poderá conseguir provocar um encerramento inesperado do sistema ou danificar a memória do kernel

Descrição: o problema foi resolvido através do processamento da memória melhorado.

CVE-2024-44277: um investigador anónimo e Yinyi Wu(@_3ndy1) do Dawn Security Lab da JD.com, Inc.

Safari Downloads

Impacto: um atacante poderá conseguir utilizar incorretamente uma relação de confiança para descarregar conteúdos maliciosos

Descrição: este problema foi resolvido através da gestão melhorada do estado.

CVE-2024-44259: Narendra Bhati, Manager de Cyber Security da Suma Soft Pvt. Ltd, Pune (Índia)

Safari Private Browsing

Impacto: a navegação privada poderá divulgar algum conteúdo do histórico de navegação

Descrição: uma fuga de informações foi resolvida com validação adicional.

CVE-2024-44229: Lucas Di Tomase

SceneKit

Impacto: o processamento de um ficheiro criado com intuito malicioso poderá provocar a corrupção da área dinâmica para dados

Descrição: este problema foi resolvido através de verificações melhoradas.

CVE-2024-44218: Michael DePlante (@izobashi) do programa Zero Day Initiative da Trend Micro

Shortcuts

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Impacto: uma app maliciosa poderá utilizar atalhos para aceder a ficheiros restritos

Descrição: foi resolvido um problema de lógica através de verificações melhoradas.

CVE-2024-44269: um investigador anónimo

Siri

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: este problema foi resolvido através de melhorias na redação de informações confidenciais.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Impacto: um atacante com acesso físico poderá conseguir aceder a fotografias de contactos a partir do ecrã bloqueado

Descrição: este problema foi resolvido através da restrição das opções disponíveis num dispositivo bloqueado.

CVE-2024-40851: Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology, Bhopal, Índia, Srijan Poudel

Siri

Impacto: uma app poderá conseguir aceder a dados confidenciais do utilizador

Descrição: foi resolvido um problema de lógica através da gestão melhorada do estado.

CVE-2024-44263: Kirin (@Pwnrin) e 7feilee

Siri

Impacto: uma app em sandbox poderá conseguir aceder a dados confidenciais do utilizador

Descrição: um problema de divulgação de informações foi resolvido através de melhorias na redação de dados privados de entradas do registo.

CVE-2024-44278: Kirin (@Pwnrin)

Spotlight

Impacto: um atacante poderá conseguir ver conteúdos restritos a partir do ecrã bloqueado

Descrição: este problema foi resolvido através da gestão melhorada do estado.

CVE-2024-44251: Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology, Bhopal, Índia

Spotlight

Impacto: um atacante poderá conseguir ver conteúdos restritos a partir do ecrã bloqueado

Descrição: o problema foi resolvido através de verificações melhoradas.

CVE-2024-44235: Rizki Maulana (rmrizki.my.id), Dalibor Milanovic, Richard Hyunho Im (@richeeta) em colaboração com o programa Route Zero Security

VoiceOver

Impacto: um atacante poderá conseguir ver conteúdos restritos a partir do ecrã bloqueado

Descrição: este problema foi resolvido através da restrição das opções disponíveis num dispositivo bloqueado.

CVE-2024-44261: Braylon (@softwarescool)

WebKit

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá impedir que a política de segurança de conteúdos seja aplicada

Descrição: o problema foi resolvido através de verificações melhoradas.

WebKit Bugzilla: 278765

CVE-2024-44296: Narendra Bhati, Manager de Cyber Security da Suma Soft Pvt. Ltd, Pune (Índia)

WebKit

Impacto: o processamento de conteúdos web criados com intuito malicioso poderá provocar uma falha inesperada no processo

Descrição: foi resolvido um problema de corrupção de memória através da validação melhorada da entrada.

WebKit Bugzilla: 279780

CVE-2024-44244: um investigador anónimo, Q1IQ (@q1iqF) e P1umer (@p1umer)

Agradecimentos adicionais

Accessibility

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, Chi Yuan Chang da ZUSO ART e taikosoup pela sua colaboração.

App Store

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, Chi Yuan Chang da ZUSO ART e taikosoup pela sua colaboração.

Calculator

Gostaríamos de agradecer a Kenneth Chew pela sua colaboração.

Calendar

Gostaríamos de agradecer a K宝(@Pwnrin) pela sua colaboração.

Camera

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology Bhopal, Índia, pela sua colaboração.

Files

Gostaríamos de agradecer a Chi Yuan Chang da ZUSO ART e taikosoup, Christian Scalese pela sua colaboração.

ImageIO

Gostaríamos de agradecer a Amir Bazine e Karsten König da CrowdStrike Counter Adversary Operations e a um investigador anónimo pela sua colaboração.

Messages

Gostaríamos de agradecer a Collin Potter e a um investigador anónimo pela sua colaboração.

NetworkExtension

Gostaríamos de agradecer a Patrick Wardle da DoubleYou e a Objective-See Foundation pela sua colaboração.

Personalization Services

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology, Bhopal, Índia, Bistrit Dahal pela sua colaboração.

Photos

Gostaríamos de agradecer a James Robertson, Kamil Bourouiba pela sua colaboração.

Safari Private Browsing

Gostaríamos de agradecer a um investigador anónimo, r00tdaddy, pela sua colaboração.

Safari Tabs

Gostaríamos de agradecer a Jaydev Ahire pela sua colaboração.

Security

Gostaríamos de agradecer a Bing Shi, Wenchao Li e Xiaolong Bai do Alibaba Group pela sua colaboração.

Settings

Gostaríamos de agradecer a Chi Yuan Chang da ZUSO ART e taikosoup, JS pela sua colaboração.

Siri

Gostaríamos de agradecer a Bistrit Dahal pela sua colaboração.

Spotlight

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) do LNCT, Bhopal, e C-DAC Thiruvananthapuram, Índia, pela sua colaboração.

Time Zone

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Lakshmi Narain College of Technology, Bhopal, Índia e Siddharth Choubey pela sua colaboração.

As informações sobre os produtos não fabricados pela Apple ou os sites independentes não controlados ou testados pela Apple são disponibilizadas sem recomendações nem aprovação. A Apple não assume qualquer responsabilidade no que diz respeito à seleção, ao desempenho ou à utilização dos sites ou produtos de terceiros. A Apple não garante a precisão nem a fiabilidade dos sites de terceiros. Contacte o fornecedor para obter mais informações.

Data de publicação: 12 de novembro de 2024