Informationen zum Sicherheitsinhalt von iOS 17.6 und iPadOS 17.6

In diesem Dokument wird der Sicherheitsinhalt von iOS 17.6 und iPadOS 17.6 beschrieben.

Informationen zu Apple-Sicherheitsupdates

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, besprochen und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Kürzliche Veröffentlichungen werden auf der Seite Apple-Sicherheitsupdates aufgeführt.

Nach Möglichkeit werden in Sicherheitsdokumenten von Apple zur Bezugnahme auf Schwachstellen CVE-IDs verwendet.

Weitere Informationen zur Sicherheit findest du auf der Seite zur Apple-Produktsicherheit.

iOS 17.6 und iPadOS 17.6

Veröffentlicht am 29. Juli 2024

AppleMobileFileIntegrity

Verfügbar für: iPhone XS und neuer, iPad Pro (13″), iPad Pro (12,9″, 2. Generation und neuer), iPad Pro (10,5″), iPad Pro (11″, 1. Generation und neuer), iPad Air (3. Generation und neuer), iPad (6. Generation und neuer) und iPad mini (5. Generation und neuer)

Auswirkung: Die Datenschutz-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Ein Downgrade-Problem wurde durch zusätzliche Einschränkungen zur Codesignatur behoben.

CVE-2024-40774: Mickey Jin (@patch1t)

CoreGraphics

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einem unerwarteten App-Abbruch führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-40799: D4m0n

CoreMedia

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Videodatei kann zu einem unerwarteten App-Abbruch führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs geschrieben werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-27873: Amir Bazine und Karsten König von CrowdStrike Counter Adversary Operations

dyld

Auswirkung: Ein Angreifer mit willkürlichen Lese- und Schreibrechten kann möglicherweise die Authentifizierung von Zeigern umgehen.

Beschreibung: Eine Race-Bedingung wurde mit einer zusätzlichen Überprüfung behoben.

CVE-2024-40815: w0wbox

Family Sharing

Auswirkung: Eine App kann ggf. vertrauliche Standortdaten lesen.

Beschreibung: Dieses Problem wurde durch verbesserten Datenschutz behoben.

CVE-2024-40795: Csaba Fitzl (@theevilbit) von Kandji

ImageIO

Auswirkung: Die Verarbeitung eines Bildes kann zu einem Denial-of-Service führen.

Beschreibung: Dies ist eine Schwachstelle in Open-Source-Code und Apple-Software gehört zu den betroffenen Projekten. Die CVE-ID wurde von einer Drittpartei zugewiesen. Weitere Informationen zu diesem Problem und der CVE-ID finden sich unter cve.org.

CVE-2023-6277

CVE-2023-52356

ImageIO

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einem unerwarteten App-Abbruch führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-40806: Yisumi

ImageIO

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einem unerwarteten App-Abbruch führen.

Beschreibung: Ein Problem, aufgrund dessen auf Daten außerhalb des zugewiesenen Bereichs zugegriffen werden konnte, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-40777: Junsung Lee in Zusammenarbeit mit der Zero Day Initiative von Trend Micro und Amir Bazine und Karsten König von CrowdStrike Counter Adversary Operations

ImageIO

Auswirkung: Die Verarbeitung einer in böser Absicht erstellten Datei kann zu einem unerwarteten App-Abbruch führen.

Beschreibung: Ein Ganzzahlüberlauf wurde durch eine verbesserte Eingabeüberprüfung behoben.

CVE-2024-40784: Junsung Lee in Zusammenarbeit mit der Zero Day Initiative von Trend Micro und Gandalf4a

Kernel

Auswirkung: Ein lokaler Angreifer kann das Layout des Kernelspeichers ermitteln

Beschreibung: Ein Problem mit der Offenlegung von Informationen wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-27863: CertiK SkyFall Team

Kernel

Auswirkung: Ein lokaler Angreifer kann möglicherweise ein unerwartetes Herunterfahren des Systems verursachen

Beschreibung: Ein Typenverwechslungsproblem wurde durch eine verbesserte Speicherverwaltung behoben.

CVE-2024-40788: Minghao Lin und Jiaxun Zhu von der Zhejiang University

libxpc

Auswirkung: Die Datenschutz-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Ein Berechtigungsproblem wurde durch zusätzliche Einschränkungen behoben.

CVE-2024-40805

Phone

Auswirkung: Ein Angreifer mit physischem Zugriff kann möglicherweise mithilfe von Siri auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Ein Problem mit dem Sperrbildschirm wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-40813: Jacob Braun

Photos Storage

Auswirkung: Fotos im ausgeblendeten Fotoalbum können möglicherweise ohne Authentifizierung angezeigt werden.

Beschreibung: Ein Authentifizierungsproblem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-40778: Mateen Alinaghi

Sandbox

Auswirkung: Die Datenschutz-Einstellungen können von einer App möglicherweise umgangen werden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-40824: Wojciech Regula von SecuRing (wojciechregula.blog), und Zhongquan Li (@Guluisacat) vom Dawn Security Lab von JingDong

Sandbox

Auswirkung: Eine App kann möglicherweise auf geschützte Benutzerdaten zugreifen.

Beschreibung: Ein Pfadbehandlungsproblem wurde durch eine verbesserte Überprüfung behoben.

CVE-2024-27871: Mickey Jin (@patch1t), Csaba Fitzl (@theevilbit) von Kandji, und Zhongquan Li (@Guluisacat) von Dawn Security Lab von JingDong

Shortcuts

Auswirkung: Ein Kurzbefehl kann bei bestimmten Aktionen möglicherweise vertrauliche Daten verwenden, ohne dass der Benutzer eine Aufforderung erhält.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2024-40835: Ein anonymer Forscher

CVE-2024-40836: Ein anonymer Forscher

Shortcuts

Auswirkung: Ein Kurzbefehl kann möglicherweise die Internetberechtigungsanforderungen umgehen.

Beschreibung: Ein Logikproblem wurde durch verbesserte Prüfungen behoben.

CVE-2024-40809: Ein anonymer Forscher

CVE-2024-40812: Ein anonymer Forscher

Shortcuts

Auswirkung: Ein Kurzbefehl kann möglicherweise die Internetberechtigungsanforderungen umgehen.

Beschreibung: Dieses Problem wurde behoben, indem eine zusätzliche Eingabeaufforderung für die Benutzerzustimmung hinzugefügt wurde.

CVE-2024-40787: Ein anonymer Forscher

Shortcuts

Auswirkung: Eine App kann möglicherweise auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch Entfernen des angreifbaren Codes behoben.

CVE-2024-40793: Kirin (@Pwnrin)

Siri

Auswirkung: Ein Angreifer kann möglicherweise auf vertrauliche Benutzerdaten zugreifen

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

CVE-2024-40786: Bistrit Dahal

Siri

Auswirkung: Ein Angreifer mit physischem Zugriff kann möglicherweise mithilfe von Siri auf vertrauliche Benutzerdaten zugreifen.

Beschreibung: Dieses Problem wurde durch Einschränkung der Optionen behoben, die auf einem gesperrten Gerät zur Verfügung stehen.

CVE-2024-40818: Bistrit Dahal und Srijan Poudel

Siri

Auswirkung: Ein Angreifer mit physischem Zugang zu einem Gerät kann unter Umständen vom Sperrbildschirm aus auf Kontakte zugreifen

Beschreibung: Dieses Problem wurde durch Einschränkung der Optionen behoben, die auf einem gesperrten Gerät zur Verfügung stehen.

CVE-2024-40822: Srijan Poudel

Siri

Auswirkung: Eine App in einer Sandbox kann möglicherweise auf vertrauliche Benutzerdaten in Systemprotokollen zugreifen.

Beschreibung: Ein Datenschutzproblem wurde durch eine verbesserte Unkenntlichmachung privater Daten in Protokolleinträgen behoben.

CVE-2024-44205: Jiahui Hu (梅零落) und Meng Zhang (鲸落) von NorthSea

Eintrag am 15. Oktober 2024 hinzugefügt

VoiceOver

Auswirkung: Ein Angreifer kann möglicherweise eingeschränkten Inhalt auf dem Sperrbildschirm anzeigen

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

CVE-2024-40829: Abhay Kailasia (@abhay_kailasia) vom Lakshmi Narain College of Technology in Bhopal, Indien

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Ein Use-After-Free-Problem wurde durch eine verbesserte Speicherverwaltung behoben.

WebKit Bugzilla: 273176

CVE-2024-40776: Huang Xilin vom Ant Group Light-Year Security Lab

WebKit Bugzilla: 268770

CVE-2024-40782: Maksymilian Motyl

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Ein Problem, aufgrund dessen Daten außerhalb des zugewiesenen Bereichs gelesen werden konnten, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

WebKit Bugzilla: 275431

CVE-2024-40779: Huang Xilin vom Ant Group Light-Year Security Lab

WebKit Bugzilla: 275273

CVE-2024-40780: Huang Xilin vom Ant Group Light-Year Security Lab

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem Cross-Site-Scripting-Angriff führen

Beschreibung: Dieses Problem wurde durch verbesserte Prüfungen behoben.

WebKit Bugzilla: 273805

CVE-2024-40785: Johan Carlsson (joaxcar)

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Ein Problem, aufgrund dessen auf Daten außerhalb des zugewiesenen Bereichs zugegriffen werden konnte, wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

CVE-2024-40789: Seunghyun Lee (@0x10n) vom KAIST Hacking Lab in Zusammenarbeit mit der Trend Micro Zero Day Initiative

WebKit

Auswirkung: Auf Tabs für privates Surfen kann ohne Authentifizierung zugegriffen werden.

Beschreibung: Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

WebKit Bugzilla: 275272

CVE-2024-40794: Matthew Butler

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

Beschreibung: Das Problem wurde durch verbesserte Prüfungen behoben.

WebKit Bugzilla: 276097

CVE-2024-44185: Gary Kwong

Eintrag am 15. Oktober 2024 hinzugefügt

WebKit

Auswirkung: Ein Benutzer kann möglicherweise einige Einschränkungen für Webinhalte umgehen.

Beschreibung: Ein Problem bei der Verarbeitung von URL-Protokollen wurde durch eine verbesserte Logik behoben.

WebKit Bugzilla: 280765

CVE-2024-44206: Andreas Jägersberger und Ro Achterberg

Eintrag am 15. Oktober 2024 hinzugefügt

WebKit

Auswirkung: Die Verarbeitung von in böser Absicht erstellten Webinhalten kann zu einem unerwarteten Prozessabbruch führen.

WebKit Bugzilla: 274165

CVE-2024-4558

Zusätzliche Danksagung

AirDrop

Wir danken Linwz von DEVCORE für die Unterstützung.

Find My

Wir möchten uns bei Andrew Bruns, Bret Palsson, Phil Purviance und Shawn Cohen für die Unterstützung bedanken.

Eintrag am 15. Oktober 2024 hinzugefügt

Settings

Wir möchten uns bei Joshua Thomas für die Unterstützung bedanken.

Shortcuts

Wir möchten uns bei einem anonymen Forscher für die Unterstützung bedanken.

Informationen zu nicht von Apple hergestellten Produkten oder nicht von Apple kontrollierten oder geprüften unabhängigen Websites stellen keine Empfehlung oder Billigung dar. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple gibt keine Zusicherungen bezüglich der Genauigkeit oder Zuverlässigkeit der Websites Dritter ab. Kontaktiere den Anbieter, um zusätzliche Informationen zu erhalten.

Veröffentlichungsdatum: Oktober 22, 2024