Om säkerhetsinnehållet i iOS 18.1 och iPadOS 18.1

I det här dokumentet beskrivs säkerhetsinnehållet i iOS 18.1 och iPadOS 18.1.

Om säkerhetsuppdateringar från Apple

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har genomförts och alla nödvändiga appkorrigeringar eller utgåvor är tillgängliga. De senaste släppen visas på sidan om Apples säkerhetssläpp.

Apples säkerhetsdokument hänvisar till sårbarheter (när det är möjligt) med hjälp av CVE-ID.

Mer information om säkerhet finns på sidan om Apples produktsäkerhet.

Om säkerhetsinnehållet i iOS 18.1 och iPadOS 18.1

Släpptes den 28 oktober 2024

Accessibility

Tillgängligt för: iPhone XS och senare

Effekt: En angripare med fysisk åtkomst till en låst enhet kan visa känslig användarinformation

Beskrivning: Problemet har åtgärdats genom förbättrad autentisering.

CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin

App Support

Tillgänglig för: iPhone XS och senare, iPad Pro 13 tum, iPad Pro 12,9 tum 3:e generationen och senare, iPad Pro 11 tum 1:a generationen och senare, iPad Air 3:e generationen och senare, iPad 7:e generationen och senare och iPad mini 5:e generationen och senare

Effekt: En skadlig app kan köra opålitliga genvägar utan användarens samtycke

BeskBeskrivning: Ett problem med hantering av sökvägar åtgärdades med hjälp av förbättrad logik.

CVE-2024-44255: En anonym forskare

AppleAVD

Effekt: Tolkning av en videofil med skadligt innehåll kan leda till oväntad systemavstängning

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2024-44232: Ivan Fratric på Google Project Zero

CVE-2024-44233: Ivan Fratric på Google Project Zero

CVE-2024-44234: Ivan Fratric på Google Project Zero

Lades till 1 november 2024

CoreMedia Playback

Effekt: En app med skadligt innehåll kan få tillgång till personlig information

Beskrivning: Problemet åtgärdades genom förbättrad hantering av symlänkar.

CVE-2024-44273: pattern-f (@pattern_F_), Hikerell på Loadshine Lab

CoreText

Effekt: Bearbetning av ett typsnitt med skadligt innehåll kan leda till att processminnet avslöjas

Beskrivning: Problemet hanterades med förbättrade kontroller.

CVE-2024-44240: Hossein Lotfi (@hosselot) på Trend Micro Zero Day Initiative

CVE-2024-44302: Hossein Lotfi (@hosselot) på Trend Micro Zero Day Initiative

Foundation

Effekt: Tolkning av en fil kan leda till att användarinformation avslöjas

Beskrivning: Ett problem med läsning utanför gränserna åtgärdades genom förbättrad indatavalidering.

CVE-2024-44282: Hossein Lotfi (@hosselot) på Trend Micro Zero Day Initiative

ImageIO

Effekt: Bearbetning av en bild kan leda till spridning av processminne

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2024-44215: Junsung Lee i samarbete med Trend Micro Zero Day Initiative

ImageIO

Effekt: Bearbetning av ett skadligt meddelande kan leda till att åtkomst till tjänsten nekas

Beskrivning: Problemet hanterades med förbättrade gränskontroller.

CVE-2024-44297: Jex Amro

IOSurface

Effekt: En app kan leda till oväntad systemavstängning eller korrumpering till kernelminne

Beskrivning: Ett UAF-fel åtgärdades med förbättrad minneshantering.

CVE-2024-44285: En anonym forskare

iTunes

Effekt: En fjärrangripare kanske kan bryta sig ur sandlådan för webbinnehåll

Beskrivning: Ett problem med ett anpassat URL-schema åtgärdades med förbättrad indatavalidering.

CVE-2024-40867: Ziyi Zhou (@Shanghai Jiao Tong University), Tianxiao Hou (@Shanghai Jiao Tong University)

Kernel

Effekt: En app kan läcka känsliga kerneltillstånd

Beskrivning: Ett problem med att information avslöjades åtgärdades med förbättrad redigering av privata data för loggposter.

CVE-2024-44239: Mateusz Krzywicki (@krzywix)

Managed Configuration

Effekt: Att återskapa en säkerhetskopia med skadlig struktur kan leda till modifiering av skyddade systemfiler

Beskrivning: Problemet åtgärdades genom förbättrad hantering av symlänkar.

CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak

MobileBackup

Effekt: Att återskapa en säkerhetskopia med skadlig struktur kan leda till modifiering av skyddade systemfiler

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrad filhantering.

CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)

Pro Res

Effekt: En app kan leda till oväntad systemavstängning eller korrumpering till kernelminne

Beskrivning: Problemet hanterades med förbättrad minneshantering.

CVE-2024-44277: En anonym forskare och Yinyi Wu(@_3ndy1) från Dawn Security Lab på JD.com, Inc.

Safari Downloads

Effekt: En angripare kan eventuellt missbruka en förtroenderelation för att hämta skadligt innehåll

Beskrivning: Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2024-44259: Narendra Bhati, Manager of Cyber Security på Suma Soft Pvt. Ltd, Pune (Indien)

Safari Private Browsing

Effekt: Privat surfning kanske kan läcka viss webbhistorik

Beskrivning: Ett informationsläckage åtgärdades med ytterligare validering.

CVE-2024-44229: Lucas Di Tomase

SceneKit

Effekt: Bearbetning av en skadlig fil kan leda till heap-fel

Beskrivning: Problemet åtgärdades med förbättrade kontroller.

CVE-2024-44218: Michael DePlante (@izobashi) på Trend Micro Zero Day Initiative

Shortcuts

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Problemet åtgärdades med förbättrad redigering av känslig information.

CVE-2024-44254: Kirin (@Pwnrin)

Shortcuts

Effekt: En skadlig app kan använda genvägar för att komma åt begränsade filer

Beskrivning: Ett logikproblem åtgärdades med hjälp av förbättrade kontroller.

CVE-2024-44269: En anonym forskare

Siri

Effekt: En app kanske kan komma åt känsliga användardata

Beskrivning: Problemet åtgärdades med förbättrad redigering av känslig information.

CVE-2024-44194: Rodolphe Brunetti (@eisw0lf)

Siri

Effekt: En angripare med fysisk åtkomst kanske kan komma åt kontaktbilder från låsskärmen

Beskrivning: Problemet åtgärdades genom att begränsa tillgängliga alternativ på en låst enhet.

CVE-2024-40851: Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College of Technology Bhopal Indien, Srijan Poudel

Siri

Effekt: En app kan komma åt användarkänsliga data

Beskrivning: Ett logikfel åtgärdades genom förbättrad tillståndshantering.

CVE-2024-44263: Kirin (@Pwnrin) och 7feilee

Siri

Effekt: En app i sandlådan kanske kan komma åt känsliga användardata i systemloggar

Beskrivning: Ett problem med att information avslöjades åtgärdades med förbättrad redigering av privata data för loggposter.

CVE-2024-44278: Kirin (@Pwnrin)

Spotlight

Effekt: En angripare kanske kan se begränsat innehåll via låsskärmen

Beskrivning: Problemet åtgärdades genom förbättrad tillståndshantering.

CVE-2024-44251: Abhay Kailasia (@abhay_kailasia) på Lakshmi Narain College Of Technology Bhopal

Spotlight

Effekt: En angripare kanske kan se begränsat innehåll via låsskärmen

Beskrivning: Problemet hanterades med förbättrade kontroller.

CVE-2024-44235: Rizki Maulana (rmrizki.my.id), Dalibor Milanovic, Richard Hyunho Im (@richeeta) med Route Zero Security

VoiceOver

Effekt: En angripare kanske kan se begränsat innehåll via låsskärmen

Beskrivning: Problemet åtgärdades genom att begränsa tillgängliga alternativ på en låst enhet.

CVE-2024-44261: Braylon (@softwarescool)

WebKit

Effekt: Bearbetning av skadligt webbinnehåll kan förhindra att policyn för innehållssäkerhet tillämpas

Beskrivning: Problemet hanterades med förbättrade kontroller.

WebKit Bugzilla: 278765

CVE-2024-44296: Narendra Bhati, Manager of Cyber Security på Suma Soft Pvt. Ltd, Pune (Indien)

WebKit

Effekt: Bearbetning av skadligt webbinnehåll kan leda till en oväntad processkrasch

Beskrivning: Ett minnesfel åtgärdades genom förbättrad indatavalidering.

WebKit Bugzilla: 279780

CVE-2024-44244: En anonym forskare, Q1IQ (@q1iqF) pch P1umer (@p1umer)

Ytterligare tack

Accessibility

Vi vill tacka Abhay Kailasia (@abhay_kailasia) på Lakshmi Narain College of Technology Bhopal Indien, Chi Yuan Chang på ZUSO ART och taikosoup för hjälpen.

App Store

Vi vill tacka Abhay Kailasia (@abhay_kailasia) på Lakshmi Narain College of Technology Bhopal Indien, Chi Yuan Chang på ZUSO ART och taikosoup för hjälpen.

Calculator

Vi vill tacka Kenneth Chew för hjälpen.

Calendar

Vi vill tacka K宝(@Pwnrin) för hjälpen.

Camera

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College Of Technology Bhopal India för hjälpen.

Files

Vi vill tacka Chi Yuan Chang på ZUSO ART och taikosoup och Christian Scalese för hjälpen.

ImageIO

Vi vill tacka Amir Bazine och Karsten König på CrowdStrike Counter Adversary Operations och en anonym forskare för deras hjälp.

Messages

Vi vill tacka Collin Potter och en anonym forskare för hjälpen.

NetworkExtension

Vi vill tacka Patrick Wardle på DoubleYou och Objective-See Foundation för hjälpen.

Personalization Services

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College of Technology Bhopal Indien och Bistrit Dahal för hjälpen.

Photos

Vi vill tacka James Robertson och Kamil Bourouiba för hjälpen.

Safari Private Browsing

Vi vill tacka en anonym forskare och r00tdaddy för hjälpen.

Safari Tabs

Vi vill tacka Jaydev Ahire för hjälpen.

Security

Vi vill tacka Bing Shi, Wenchao Li och Xiaolong Bai på Alibaba Group för hjälpen.

Settings

Vi vill tacka Chi Yuan Chang på ZUSO ART och taikosoup och JS för hjälpen.

Siri

Vi vill tacka Bistrit Dahal för hjälpen.

Spotlight

Vi vill tacka Abhay Kailasia (@abhay_kailasia) på LNCT Bhopal och C-DAC Thiruvananthapuram Indien för hjälpen.

Time Zone

Vi vill tacka Abhay Kailasia (@abhay_kailasia) från Lakshmi Narain College of Technology Bhopal Indien och Siddharth Choubey för hjälpen.

Information om produkter som inte tillverkas av Apple eller som finns på oberoende webbplatser som inte står under Apples kontroll eller testats av Apple anges endast i informationssyfte och är inte att betrakta som rekommendationer av eller stöd för produkterna. Apple tar inget ansvar för valet eller nyttjandet av webbplatser eller produkter från tredje part och inte heller för produkternas prestanda. Apple garanterar inte att informationen på webbplatser från tredje part är korrekt eller tillförlitlig. Kontakta leverantören för mer information.

Publiceringsdatum: 12 november 2024