iOS 14.7 & iPadOS 14.7 Sicherheit: Apple stellt Details bereit

Apple hat diese Woche iOS 14.7, iPadOS 14.7 und Co. für alle Anwender bereitgestellt. Nun hat das Unternehmen ein Dokument bereitgestellt, dass alle sicherheitsrelevanten Verbesserungen zeigt.

Apple hat eigenen Informationen zufolge eine Reihe von Sicherheitslücken unter iOS 14.7 und iPadOS 14.7 behoben. Die Liste ist ziemlich lang und zeigt, wie wichtig die neuen Updates sind. Dabei wurden unter Anderem Schwachstellen in WebKit, Find My und mehr behoben. Interessanterweise wird zu den Sicherheitsupdates die Pegasus Spyware mit keiner Silbe erwähnt. Zur Erinnerung: Diese wurde eingesetzt, um Menschenrechtsaktivisten, Anwälte, Journalisten und Politiker auszuspionieren. Das Tool nutzt Apples iMessage-System als Vektor, um Zero-Click-Attacken auszuführen. Unklar bleibt, wann Apple diese Sicherheitslücke schließen wird.

iOS 14.7 & iPadOS 14,7: Updates werden dringend empfohlen

Darüber hinaus gibt es Sicherheitskorrekturen in macOS Big Sur 11.5, tvOS 14.7 und watchOS 7.6. für Mac-Nutzer, die ältere Versionen von macOS nutzen, hat Apple Sicherheitsupdates für macOS Catalina und macOS Mojave veröffentlicht. Wie dem auch sei. Nachfolgend habe ich euch den gesamten Inhalt, den Apple bereitgestellt hat, im Wortlaut (übersetzt) aufgelistet. Demnach gilt – die Updates werden dringend empfohlen und sollten zeitnah installiert werden. (Photo by Unsplash / Brandon Romanchuk)

• iOS 15: Startbildschirmseiten neu anordnen und löschen – so gehts

ActionKit

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer und iPod touch (7. Generation)
• Auswirkungen: Eine Verknüpfung kann möglicherweise die Internetberechtigungsanforderungen umgehen
• Beschreibung: Ein Problem bei der Eingabevalidierung wurde mit einer verbesserten Eingabevalidierung behoben.
• CVE-2021-30763: Zachary Keffaber (@QuickUpdate5)

Audio

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Ein lokaler Angreifer kann möglicherweise einen unerwarteten Abbruch der Anwendung oder die Ausführung von beliebigem Code verursachen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30781: tr3e

AVEVideoEncoder

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Eine Anwendung kann möglicherweise beliebigen Code mit Kernel-Rechten ausführen
• Beschreibung: Ein Speicherkorruptionsproblem wurde durch eine verbesserte Zustandsverwaltung behoben.
• CVE-2021-30748: George Nosenko

CoreAudio

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer in böser Absicht erstellten Audiodatei kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Speicherkorruptionsproblem wurde durch eine verbesserte Zustandsverwaltung behoben.
• CVE-2021-30775: JunDong Xie von Ant Security Light-Year Lab

CoreAudio

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Das Abspielen einer bösartigen Audiodatei kann zu einem unerwarteten Beenden der Anwendung führen
• Beschreibung: Ein logisches Problem wurde mit verbesserter Validierung behoben.
• CVE-2021-30776: JunDong Xie von Ant Security Light-Year Lab

CoreGraphics

• Verfügbar für: iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher, und iPod touch (7. Generation)
• Auswirkungen: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Beenden der Anwendung oder der Ausführung von beliebigem Code führen
• Beschreibung: Eine Race Condition wurde mit verbessertem State Handling adressiert.
• CVE-2021-30786: ryuzaki

CoreText

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer in böser Absicht erstellten Schriftdatei kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Out-of-bounds-Read wurde mit verbesserter Eingabevalidierung adressiert.
• CVE-2021-30789: Mickey Jin (@patch1t) von Trend Micro, Sunglin vom Knownsec 404 Team

Crash Reporter

• Verfügbar für: iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher, und iPod touch (7. Generation)
• Auswirkungen: Eine bösartige Anwendung kann möglicherweise Root-Rechte erlangen
• Beschreibung: Ein Logikproblem wurde mit verbesserter Validierung behoben.
• CVE-2021-30774:  Yizhuo Wang von der Group of Software Security In Progress (G.O.S.S.I.P) an der Shanghai Jiao Tong University

CVMS

• Verfügbar für: iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher, und iPod touch (7. Generation)
• Auswirkungen: Eine bösartige Anwendung kann möglicherweise Root-Rechte erlangen
• Beschreibung: Ein Out-of-bounds-Write-Problem wurde mit einer verbesserten Bound-Checking-Funktion behoben.
• CVE-2021-30780: Tim Michaud(@TimGMichaud) von Zoom Video Communications

dyld

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Ein Prozess mit Sandbox kann möglicherweise die Sandbox-Beschränkungen umgehen
• Beschreibung: Ein logisches Problem wurde mit verbesserter Validierung behoben.
• CVE-2021-30768: Linus Henze (pinauten.de)

Find My

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Eine bösartige Anwendung kann auf Find My Daten zugreifen
• Beschreibung: Ein Berechtigungsproblem wurde mit verbesserter Validierung behoben.
• CVE-2021-30804: Csaba Fitzl (@theevilbit) von Offensive Security

FontParser

• Verfügbar für: iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Integer-Überlauf wurde durch eine verbesserte Eingabevalidierung behoben.
• CVE-2021-30760: Sunglin vom Knownsec 404 Team

FontParser

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer in böser Absicht erstellten tiff-Datei kann zu einem Denial-of-Service führen oder möglicherweise Speicherinhalte offenlegen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30788: tr3e arbeitet mit der Trend Micro Zero Day Initiative zusammen

FontParser

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer in böser Absicht erstellten Schriftartdatei kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Stapelüberlauf wurde mit verbesserter Eingabevalidierung behoben.
• CVE-2021-30759: hjy79425575 in Zusammenarbeit mit Trend Micro Zero Day Initiative

Identitätsdienst

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Eine bösartige Anwendung kann möglicherweise die Code-Signierungsprüfungen umgehen
• Beschreibung: Ein Problem bei der Validierung von Codesignaturen wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30773: Linus Henze (pinauten.de)

Bildverarbeitung

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein use after free Problem wurde mit verbessertem Speichermanagement behoben.
• CVE-2021-30802: Matthew Denton von Google Chrome Security

ImageIO

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung eines in böser Absicht erstellten Bildes kann zur Ausführung von beliebigem Code führen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30779: Jzhu, Ye Zhang(@co0py_Cat) von Baidu Security

ImageIO

• Verfügbar für: iPhone 6s und höher, iPad Pro (alle Modelle), iPad Air 2 und höher, iPad 5. Generation und höher, iPad mini 4 und höher, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung eines in böser Absicht erstellten Bildes kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Pufferüberlauf wurde mit einer verbesserten Grenzüberprüfung behoben.
• CVE-2021-30785: CFF vom Topsec Alpha Team, Mickey Jin (@patch1t) von Trend Micro

Kernel

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Ein böswilliger Angreifer mit willkürlichen Lese- und Schreibfähigkeiten kann möglicherweise die Pointer-Authentifizierung umgehen
• Beschreibung: Ein Logikproblem wurde mit verbesserter Zustandsverwaltung behoben.
• CVE-2021-30769: Linus Henze (pinauten.de)

Kernel

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Ein Angreifer, der bereits die Ausführung von Kernel-Code erreicht hat, könnte in der Lage sein, Kernel-Speicherabschwächungen zu umgehen
• Beschreibung: Ein Logikproblem wurde mit verbesserter Validierung behoben.
• CVE-2021-30770: Linus Henze (pinauten.de)

libxml2

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Ein entfernter Angreifer kann möglicherweise die Ausführung von beliebigem Code verursachen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-3518

Maßnahme

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Mehrere Probleme in libwebp
• Beschreibung: Mehrere Probleme wurden durch das Update auf Version 1.2.0 behoben.
• CVE-2018-25010
• CVE-2018-25011
• CVE-2018-25014
• CVE-2020-36328
• CVE-2020-36329
• CVE-2020-36330
• CVE-2020-36331

Modell I/O

• Verfügbar für: iPhone 6s und später, iPad Pro (alle Modelle), iPad Air 2 und später, iPad 5. Generation und später, iPad mini 4 und später sowie iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung eines in böser Absicht erstellten Bildes kann zu einem Denial-of-Service führen
• Beschreibung: Ein Logikproblem wurde mit verbesserter Validierung behoben.
• CVE-2021-30796: Mickey Jin (@patch1t) von Trend Micro

Modell: I/O

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung eines in böser Absicht erstellten Bildes kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Out-of-bounds-Write wurde mit verbesserter Eingabevalidierung adressiert.
• CVE-2021-30792: Anonymous arbeitet mit der Trend Micro Zero Day Initiative zusammen

Modell I/O

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung einer böswillig erstellten Datei kann Benutzerinformationen offenlegen
• Beschreibung: Ein Out-of-bounds-Read wurde mit einer verbesserten Bound-Checking behoben.
• CVE-2021-30791: Anonymous arbeitet mit der Trend Micro Zero Day Initiative zusammen

TCC

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Eine bösartige Anwendung kann möglicherweise bestimmte Datenschutzeinstellungen umgehen
• Beschreibung: Ein Logikproblem wurde mit verbesserter Zustandsverwaltung behoben.
• CVE-2021-30798: Mickey Jin (@patch1t) von Trend Micro

WebKit

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein Typverwechslungsproblem wurde mit verbesserter Zustandsbehandlung behoben.
• CVE-2021-30758: Christoph Guttandin von Media Codings

WebKit

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von beliebigem Code führen
• Beschreibung: Ein use after free Problem wurde mit verbessertem Speichermanagement behoben.
• CVE-2021-30795: Sergei Glazunov von Google Project Zero

WebKit

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Codeausführung führen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30797: Ivan Fratric von Google Project Zero

WebKit

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer sowie iPod touch (7. Generation)
• Auswirkungen: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zur Ausführung von beliebigem Code führen
• Beschreibung: Mehrere Speicherkorruptionsprobleme wurden durch verbesserte Speicherbehandlung behoben.
• CVE-2021-30799: Sergei Glazunov von Google Project Zero

Wi-Fi

• Verfügbar für: iPhone 6s und neuer, iPad Pro (alle Modelle), iPad Air 2 und neuer, iPad 5. Generation und neuer, iPad mini 4 und neuer, und iPod touch (7. Generation)
• Auswirkungen: Der Beitritt zu einem bösartigen Wi-Fi-Netzwerk kann zu einem Denial-of-Service oder der Ausführung von beliebigem Code führen
• Beschreibung: Dieses Problem wurde mit verbesserten Prüfungen behoben.
• CVE-2021-30800: vm_call, Nozhdar Abdulkhaleq Shukri