Obsah zabezpečenia v systémoch iOS 18.1 a iPadOS 18.1

V tomto dokumente sa ppisuje obsah zabezpečenia v systémoch iOS 18.1 a iPadOS 18.1.

Aktualizácie zabezpečenia spoločnosti Apple

Spoločnosť Apple chráni svojich zákazníkov, a preto nezverejňuje informácie o problémoch so zabezpečením, nediskutuje o nich ani ich nepotvrdzuje, kým sa problémy nepreskúmajú a nie sú k dispozícii opravy alebo nové vydania. Aktuálne vydania sú uvedené na stránke Vydania zabezpečenia Apple.

Dokumenty spoločnosti Apple o zabezpečení podľa možnosti odkazujú na riziká prostredníctvom identifikátorov CVE-ID.

Ďalšie informácie o zabezpečení si prečítajte na stránke Zabezpečenie produktov Apple.

Obsah zabezpečenia v systémoch iOS 18.1 a iPadOS 18.1

Dátum vydania: 28. októbra 2024

Accessibility

Dostupné pre: iPhone XS a novší

Dopad: Útočiaca osoba s fyzickým prístupom k zamknutému zariadeniu môže byť schopná zobraziť si citlivé informácie používateľa

Popis: Tento problém bol vyriešený vylepšením overovania.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Dostupné pre: iPhone XS a novšie, 13-palcový iPad Pro, 12,9-palcový iPad Pro (3. generácia a novšie), 11-palcový iPad Pro (1. generácia a novšie), iPad Air (3. generácia a novšie), iPad (7. generácia a novšie), iPad mini (5. generácia a novšie)

Dopad: Apka so škodlivým kódom môže byť schopná spúšťať ľubovoľné skratky bez súhlasu používateľa

Popis: Dochádzalo k problému so spracovaním ciest, ktorý bol vyriešený vylepšením logiky.

CVE-2024-44255: anonymný výskumník

AppleAVD

Dopad: Analýza súboru videa so škodlivým kódom môže viesť k neočakávanému ukončeniu systému

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44232: Ivan Fratric (Google Project Zero)

CVE-2024-44233: Ivan Fratric (Google Project Zero)

CVE-2024-44234: Ivan Fratric (Google Project Zero)

Dátum pridania záznamu: 1. novembra 2024

CoreMedia Playback

Dopad: Apka so škodlivým kódom môže byť schopná získať prístup k súkromným informáciám

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell z tímu Loadshine Lab

CoreText

Dopad: Spracovanie písma so škodlivým kódom môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44240: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

CVE-2024-44302: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

Foundation

Dopad: Analýza súboru môže viesť k sprístupneniu informácií používateľa

Popis: Dochádzalo k problému s čítaním dát mimo buffera, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-44282: Hossein Lotfi (@hosselot) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dopad: Spracovanie obrázka môže mať za následok odhalenie operačnej pamäte

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44215: Junsung Lee v spolupráci s projektom Zero Day Initiative spoločnosti Trend Micro

ImageIO

Dopad: Spracovanie správy so škodlivým kódom môže viesť k odmietnutiu služby.

Popis: Tento problém bol vyriešený vylepšením kontrol obmedzení.

CVE-2024-44297: Jex Amro

IOSurface

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému s použitím po uvoľnení, ktorý bol vyriešený vylepšením správy pamäte.

CVE-2024-44285: anonymný výskumník

iTunes

Dopad: Vzdialený útočník môže byť schopný pracovať mimo sandboxu pre webový obsah

Popis: Dochádzalo k problému so spracovaním vlastnej schémy URL, ktorý bol vyriešený vylepšením overovania vstupu.

CVE-2024-40867: Ziyi Zhou (@Shanghai Jiao Tong University), Tianxiao Hou (@Shanghai Jiao Tong University)

Kernel

Dopad: Apka môže byť schopná spôsobiť únik citlivých informácií o stave jadra

Popis: Dochádzalo k problému so zverejnením informácií, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Managed Configuration

Dopad: Obnovenie súboru zálohy so škodlivým kódom môže viesť k úprave chránených systémových súborov

Popis: Tento problém bol vyriešený vylepšením spracovania symbolických odkazov.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Dopad: Obnovenie súboru zálohy so škodlivým kódom môže viesť k úprave chránených systémových súborov

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením spracovania súborov.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Dopad: Apka môže byť schopná spôsobiť neočakávané ukončenie systému alebo poškodiť pamäť jadra

Popis: Dochádzalo k problému, ktorý bol vyriešený vylepšením spracovania pamäte.

CVE-2024-44277: anonymný výskumník a Yinyi Wu(@_3ndy1) z tímu Dawn Security Lab spoločnosti JD.com, Inc.

Safari Downloads

Dopad: Útočník môže byť schopný zneužiť vzťah dôvery medzi doménami na stiahnutie obsahu so škodlivým kódom

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2024-44259: Narendra Bhati, manažér kybernetickej bezpečnosti v spoločnosti Suma Soft Pvt. Ltd, Pune (India)

Safari Private Browsing

Dopad: Pri súkromnom prehliadaní môže dôjsť k úniku histórie prehliadania

Popis: Dochádzalo k problému s únikom informácií, ktorý bol vyriešený dodatočným overovaním.

CVE-2024-44229: Lucas Di Tomase

SceneKit

Dopad: Spracovanie súboru so škodlivým kódom môže viesť k poškodeniu haldy

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44218: Michael DePlante (@izobashi) z tímu projektu Zero Day Initiative spoločnosti Trend Micro

Shortcuts

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Dopad: Apka so škodlivým kódom môže používať skratky na získanie prístupu k súborom s obmedzeným prístupom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením kontrol.

CVE-2024-44269: anonymný výskumník

Siri

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským dátam

Popis: Tento problém bol vyriešený vylepšením redigovania citlivých informácií.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Dopad: Útočiaca osoba s fyzickým prístupom môže byť schopná získať prístup k fotkám kontaktov zo zamknutej obrazovky

Popis: Tento problém bol vyriešený obmedzením možností dostupných na zamknutom zariadení.

CVE-2024-40851: Abhay Kailasia (@abhay_kailasia) zo školy Lakshmi Narain College of Technology (Bhopál, India), Srijan Poudel

Siri

Dopad: Apka môže byť schopná získať prístup k citlivým používateľským údajom

Popis: Dochádzalo k problému s logikou, ktorý bol vyriešený vylepšením správy stavu.

CVE-2024-44263: Kirin (@Pwnrin) a 7feilee

Siri

Dopad: Apka v sandboxe môže byť schopná získať prístup k citlivým používateľským dátam v systémových protokoloch

Popis: Dochádzalo k problému so zverejnením informácií, ktorý bol vyriešený vylepšením redigovania súkromných dát v položkách záznamov.

CVE-2024-44278: Kirin (@Pwnrin)

Spotlight

Dopad: Útočiaca osoba môže byť schopná zobraziť si obmedzený obsah na zamknutej obrazovke

Popis: Tento problém bol vyriešený vylepšením správy stavu.

CVE-2024-44251: Abhay Kailasia (@abhay_kailasia) zo školy Lakshmi Narain College of Technology (Bhopál, India)

Spotlight

Dopad: Útočiaca osoba môže byť schopná zobraziť si obmedzený obsah na zamknutej obrazovke

Popis: Tento problém bol vyriešený vylepšením kontrol.

CVE-2024-44235: Rizki Maulana (rmrizki.my.id), Dalibor Milanovic, Richard Hyunho Im (@richeeta) z tímu Route Zero Security

VoiceOver

Dopad: Útočiaca osoba môže byť schopná zobraziť si obmedzený obsah na zamknutej obrazovke

Popis: Tento problém bol vyriešený obmedzením možností dostupných na zamknutom zariadení.

CVE-2024-44261: Braylon (@softwarescool)

WebKit

Dopad: Spracovanie webového obsahu so škodlivým kódom môže zabrániť vynúteniu zásad CSP (Content Security Policy)

Popis: Tento problém bol vyriešený vylepšením kontrol.

WebKit Bugzilla: 278765

CVE-2024-44296: Narendra Bhati, manažér kybernetickej bezpečnosti v spoločnosti Suma Soft Pvt. Ltd, Pune (India)

WebKit

Dopad: Spracovanie webového obsahu so škodlivým kódom môže viesť k neočakávanému zlyhaniu procesu

Popis: Dochádzalo k problému s poškodením pamäte, ktorý bol vyriešený vylepšením overovania vstupu.

WebKit Bugzilla: 279780

CVE-2024-44244: anonymný výskumník, Q1IQ (@q1iqF) a P1umer (@p1umer)

Ďalšie poďakovanie

Accessibility

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology Bhopal India, Chi Yuan Chang z ZUSO ART a taikosoup.

App Store

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology Bhopal India, Chi Yuan Chang z ZUSO ART a taikosoup.

Calculator

Poďakovanie za pomoc si zaslúži Kenneth Chew.

Calendar

Poďakovanie za pomoc si zaslúži K宝(@Pwnrin).

Camera

Poďakovanie za pomoc si zaslúži Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College Of Technology v Bhópale v Indii.

Files

Poďakovanie za pomoc si zaslúžia Chi Yuan Chang z tímu ZUSO ART a taikosoup, ako aj Christian Scalese.

ImageIO

Poďakovanie za pomoc si zaslúžia Amir Bazine a Karsten König z tímu Counter Adversary Operations spoločnosti CrowdStrike, ako aj anonymný výskumník.

Messages

Poďakovanie za pomoc si zaslúžia Collin Potter a anonymný výskumník.

NetworkExtension

Poďakovanie za pomoc si zaslúži Patrick Wardle zo spoločnosti DoubleYou a organizácie Objective-See Foundation.

Personalization Services

Poďakovanie za pomoc si zaslúžia Abhay Kailasia (@abhay_kailasia) zo školy Lakshmi Narain College of Technology (Bhopál, India) a Bistrit Dahal.

Photos

Poďakovanie za pomoc si zaslúžia James Robertson a Kamil Bourouiba.

Safari Private Browsing

Poďakovanie za pomoc si zaslúžia anonymný výskumník a r00tdaddy.

Safari Tabs

Poďakovanie za pomoc si zaslúži Jaydev Ahire.

Security

Poďakovanie za pomoc si zaslúžia Bing Shi, Wenchao Li a Xiaolong Bai zo spoločnosti Alibaba Group.

Settings

Poďakovanie za pomoc si zaslúžia Chi Yuan Chang z tímu ZUSO ART a taikosoup, ako aj JS.

Siri

Poďakovanie za pomoc si zaslúži Bistrit Dahal.

Spotlight

Poďakovanie za pomoc si zaslúžia Abhay Kailasia (@abhay_kailasia) zo školy LNCT v Bhopále a centrum C-DAC Thiruvananthapuram v Indii.

Time Zone

Poďakovanie za pomoc si zaslúžia Abhay Kailasia (@abhay_kailasia) zo školy Lakshmi Narain College of Technology (Bhopál, India) a Siddharth Choubey.

Informácie o produktoch, ktoré nevyrába spoločnosť Apple, alebo nezávislých webových stránkach, ktoré nekontroluje ani netestuje spoločnosť Apple, sa poskytujú bez akéhokoľvek odporúčania či podpory. Spoločnosť Apple nenesie žiadnu zodpovednosť v súvislosti s výberom, výkonom alebo používaním webových stránok alebo produktov tretích strán. Spoločnosť Apple neposkytuje žiadne vyhlásenia týkajúce sa presnosti či spoľahlivosti webových stránok tretích strán. Ak chcete získať ďalšie informácie, obráťte sa na dodávateľa.

Dátum zverejnenia: 12. novembra 2024