Obsah zabezpečenia v systémoch iOS 17.3 a iPadOS 17.3

V tomto dokumente sa popisuje obsah zabezpečenia v systémoch iOS 17.3 a iPadOS 17.3.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Najnovšie vydania sú uvedené na stránke s vydaniami zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení nájdete na stránke o zabezpečení produktov Apple.

iOS 17.3 a iPadOS 17.3

Apple Neural Engine

Dostupné pre zariadenia s modulom Apple Neural Engine: iPhone XS a novšie, 12,9-palcový iPad Pro (3. generácia a novšie), 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (8. generácia a novšie) a iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2024-23212: Ye Zhang (Baidu Security)

CoreCrypto

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Útočiaca osoba môže byť schopná dešifrovať údaje zašifrované starším algoritmom RSA PKCS#1 v1.5 bez toho, aby mala súkromný kľúč

Popis: Dochádzalo k problému s časovaním vedľajšieho kanála, ktorý bol vyriešený vylepšením výpočtu časovej konštanty v kryptografických funkciách.

CVE-2024-23218: Clemens Lang

Kernel

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná spustiť ľubovoľný kód s oprávneniami na úrovni jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2024-23208: fmyy (@binary_fmyy) a lime z tímu TIANGONG Team of Legendsec spoločnosti QI-ANXIN Group

libxpc

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná spôsobiť odopretie služby

Popis: Dochádzalo k problému s povoleniami, ktorý bol vyriešený používaním ďalších obmedzení.

CVE-2024-23201: Koh M. Nakagawa zo spoločnosti FFRI Security, Inc. a anonymný výskumník

Mail Search

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-23207: Noah Roskin-Frazee a Prof. J. (ZeroClicks.ai Lab) a Ian de Marcellus

Notes

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Obsah zamknutých poznámok mohol byť neočakávane odomknutý

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2024-23228: Harsh Tyagi

NSSpellChecker

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Dochádzalo k problému s ochranou súkromia, ktorý bol vyriešený vylepšením spracovania súborov.

CVE-2024-23223: Noah Roskin-Frazee a Prof. J. (ZeroClicks.ai Lab)

Power Manager

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná poškodiť pamäť koprocesora

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-27791: Pan ZhenPeng (@Peterpan0927) z tímu STAR Labs SG Pte. Ltd.

Reset Services

Dostupné pre: iPhone XS a novší

Dopad: Ochrana ukradnutého zariadenia sa môže neočakávane zakázať

Popis: Tento problém bol vyriešený vylepšením overovania.

CVE-2024-23219: Peter Watthey a Christian Scalese

Safari

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Súkromná aktivita prehliadania používateľa môže byť viditeľná v Nastaveniach

Popis: Dochádzalo k problému s ochranou súkromia, ktorý bol vyriešený vylepšením spracovania používateľských nastavení.

CVE-2024-23211: Mark Bowers

Shortcuts

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Skratka môže byť schopná používať pre určité akcie citlivé údaje bez zobrazenia výzvy pre používateľa

Popis: Tento problém bol vyriešený pridaním ďalších kontrol povolení.

CVE-2024-23203: Anonymný výskumník

CVE-2024-23204: Jubaer Alnazi (@h33tjubaer)

Shortcuts

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná obísť určité nastavenia súkromia

Popis: Dochádzalo k problému s ochranou súkromia, ktorý bol vyriešený vylepšením spracovania dočasných súborov.

CVE-2024-23217: Kirin (@Pwnrin)

TCC

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským údajom

Popis: Problém bol vyriešený vylepšením spracovania dočasných súborov.

CVE-2024-23215: Zhongquan Li (@Guluisacat)

Time Zone

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka môže byť schopná zobraziť telefónne číslo používateľa v systémových denníkoch

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-23210: Noah Roskin-Frazee a Prof. J. (ZeroClicks.ai Lab)

WebKit

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Webová stránka so škodlivým kódom môže byť schopná vytvoriť jedinečnú identitu používateľa

Popis: Dochádzalo k problému s prístupom, ktorý bol vyriešený vylepšením obmedzení prístupu.

CVE-2024-23206: Anonymný výskumník

WebKit

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Spracovanie webového obsahu môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2024-23213: Wangtaiyu (Zhongfu info)

WebKit

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu

Popis: Dochádzalo k viacerým problémom súvisiacim s poškodením pamäte, ktoré boli vyriešené vylepšením spracovania pamäte.

CVE-2024-23214: Nan Wang (@eternalsakura13) z tímu 360 Vulnerability Research Institute

WebKit

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k spusteniu ľubovoľného kódu. Spoločnosť Apple vie o hlásení o tom, že tento problém mohol byť zneužitý.

Popis: Dochádzalo k problému so zámenou typu, ktorý bol vyriešený vylepšením kontrol.

CVE-2024-23222

WebKit

Dostupné pre: iPhone XS a novšie, 12,9-palcový iPad Pro (2. generácia a novšie), 10,5-palcový iPad Pro, 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (6. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Webová stránka so škodlivým kódom môže spôsobiť neočakávané správanie využívajúce zámenu pôvodu

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2024-23271: James Lee (@Windowsrcer)

Ďalšie poďakovanie

NetworkExtension

Poďakovanie za pomoc si zaslúži Nils Rollshausen.