Acerca del contenido de seguridad de las últimas versiones de iOS 15.4 y iPadOS 15.4, como 315 Wi informados
Además de las actualizaciones de software funcionales relacionadas que todos ya conocen, también hay mucha información relacionada con la seguridad que todos han ignorado, por lo que esta actualización debe actualizarse a tiempo.
Este artículo cubre el contenido de seguridad de iOS 15.4 y iPadOS 15.4.
Acerca de las actualizaciones de seguridad de Apple
Para proteger a nuestros clientes, Apple no divulga, discute ni confirma problemas de seguridad sin antes investigar e implementar un parche o lanzamiento. Las versiones lanzadas recientemente se enumeran en la página Actualizaciones de seguridad de Apple.
Los documentos de seguridad de Apple hacen referencia a las vulnerabilidades de seguridad mediante su CVE-ID siempre que sea posible.
iOS 15.4 y iPadOS 15.4
Lanzados el 14 de marzo de 2022
Accelerate Framework
Impacto: Abrir un archivo PDF creado con fines malintencionados puede provocar la finalización inesperada de la aplicación o la ejecución de código arbitrario
Descripción: se ha solucionado un problema de corrupción de memoria con una gestión de estado mejorada.
CVE-2022-22633: Un investigador anónimo
AppleAVD
Impacto: el procesamiento de imágenes creadas con fines malintencionados puede provocar daños en el montón
Descripción: Se ha solucionado un problema de corrupción de memoria con una validación mejorada.
CVE-2022-22666: Marc Schoenefeld (Dr. rer. nat.)
AVEVideoEncoder
Impacto: una aplicación maliciosa puede ejecutar comandos arbitrarios con privilegios del kernel Código
Descripción: Se ha solucionado un problema de desbordamiento del búfer mejorando la comprobación de límites.
CVE-2022-22634: Un investigador anónimo
AVEVideoEncoder
Impacto: una aplicación puede obtener privilegios elevados
Descripción : Se solucionó un problema de escritura fuera de límites mejorando la verificación de límites.
CVE-2022-22635: Un investigador anónimo
AVEVideoEncoder
Impacto: una aplicación puede ejecutar código arbitrario con privilegios del kernel
Descripción: Se solucionó un problema de escritura fuera de límites con una verificación de límites mejorada.
CVE-2022-22636: Un investigador anónimo
Celular
Impacto: una persona con acceso físico al dispositivo podrá ver y modificar operaciones desde la pantalla de bloqueo Información y configuración de la cuenta comercial
Nota: El panel de Certificación GSMA puede aparecer en la pantalla de bloqueo. Se solucionó el problema al requerir que el dispositivo estuviera desbloqueado antes de interactuar con el panel certificado por GSMA.
CVE-2022-22652: Ka?an E?lence (linkedin.com/in/kaganeglence)
CoreMedia
Impacto: se concede acceso a la cámara Aplicación es posible que pueda obtener información sobre la vista actual de la cámara antes de los permisos
Descripción: se resolvió un problema con el acceso de la aplicación a los metadatos de la cámara a través de una lógica mejorada.
CVE-2022-22598: Will Blaschko del equipo Quasko
FaceTime
Impacto: los usuarios pueden omitir la solicitud de contraseña del contacto de emergencia SOS
Descripción: Este problema se ha solucionado con comprobaciones mejoradas.
CVE-2022-22642: Yicong Ding (@AntonioDing)
FaceTime
Impacto: Un usuario puede enviar Audio y Vídeo sin saberlo
Descripción: Este problema se ha solucionado con comprobaciones mejoradas.
CVE-2022-22643: Sonali Luthar de la Universidad de Virginia, Michael Liao de la Universidad de Illinois en Urbana-Champaign, Rohan Pahwa de la Universidad de Rutgers y Bao Nguyen de la Universidad de Florida
Controladores de GPU
Impacto: una aplicación puede ejecutar código arbitrario con privilegios del kernel
Descripción: Se ha solucionado un problema de uso después de la liberación mediante una gestión de memoria mejorada .
CVE-2022-22667: Justin Sherman, Universidad de Maryland, condado de Baltimore
ImageIO
Impacto: el procesamiento de una imagen creada con fines malintencionados puede provocar la ejecución de código arbitrario
Descripción: Se ha solucionado un problema de lectura fuera de límites mediante una validación de entrada mejorada.
CVE-2022-22611: Xingyu Jin de Google
ImageIO
Impacto: el procesamiento de imágenes creadas con fines malintencionados puede provocar daños en el montón
Descripción: Se ha solucionado un problema de consumo de memoria mediante un manejo mejorado de la memoria.
CVE-2022-22612: Xingyu Jin de Google
IOGPUFamily
Impacto: una aplicación puede obtener privilegios elevados
Descripción : Los problemas de uso después de la liberación se han solucionado con una gestión de memoria mejorada.
CVE-2022-22641: Mohamed Ghannam (@_simo36)
iTunes
Impacto: un sitio web malicioso puede acceder a información sobre el usuario y su dispositivo
p>
Descripción: Se ha resuelto un problema de lógica mejorando las restricciones de acceso.
CVE-2022-22653: Aymeric Chaib de CERT Banque de France
Kernel
Impacto: una aplicación puede ejecutar código arbitrario con privilegios del kernel
Descripción: Se ha solucionado un problema de corrupción de memoria con una validación mejorada.
CVE-2022-22596: Un investigador anónimo
CVE-2022-22640: sqrtpwn
Kernel
Impacto: Aplicación Un programa puede ejecutar código arbitrario con privilegios del kernel
Descripción: se ha solucionado un problema de escritura fuera de límites mediante una comprobación de límites mejorada.
CVE-2022-22613: Alex y un investigador anónimo
Kernel
Impacto: una aplicación puede ejecutar código arbitrario con privilegios del kernel
Descripción: Los problemas de uso después de la liberación se han solucionado mediante una gestión de memoria mejorada.
CVE-2022-22614: Un investigador anónimo
CVE-2022-22615: Un investigador anónimo
Kernel
Impacto: A una aplicación maliciosa puede escalar privilegios
Descripción: se ha solucionado un problema lógico mediante una gestión de estado mejorada.
CVE-2022-22632: Keegan Saunders
Kernel
Impacto: Un atacante en una posición privilegiada puede ser capaz de lanzar un ataque de denegación de servicio
p>Descripción: Se ha solucionado un problema de desreferencia de puntero nulo con una validación mejorada.
CVE-2022-22638: derrek (@derrekr6)
libarchive
Impacto: existen varios problemas en libarchive
Descripción: varios Existen problemas de corrupción de memoria en libarchive. Estos problemas se han abordado mediante una validación de entrada mejorada.
CVE-2021-36976
Marcado
Impacto: una persona con acceso físico a un dispositivo iOS puede ver información confidencial a través de sugerencias de teclado
Descripción: Este problema se ha solucionado con comprobaciones mejoradas.
CVE-2022-22622: Ingyu Lim (@_kanarena)
MediaRemote
Impacto: una aplicación maliciosa puede identificar qué otras aplicaciones tiene el usuario instalado
Descripción: Los problemas de acceso se han solucionado mejorando las restricciones de acceso.
CVE-2022-22670: Brandon Azad
NetworkExtension
Impacto: un atacante con una posición privilegiada en la red puede revelar información confidencial del usuario
Descripción: Se ha resuelto un problema de lógica con una gestión de estado mejorada.
CVE-2022-22659: Un investigador anónimo
Teléfono
Impacto: los usuarios pueden omitir la solicitud de contraseña del "Contacto de emergencia SOS"
Descripción: Este problema se ha solucionado con comprobaciones mejoradas.
CVE-2022-22618: Yicong Ding (@AntonioDing)
Preferencias
Impacto: Una aplicación maliciosa puede ser capaz de leer la configuración de otras aplicaciones
p>
Descripción: este problema se ha solucionado con comprobaciones de permisos adicionales.
CVE-2022-22609: Zhipeng Huo (@R3dF09) y Yuebin Sun (@yuebinsun2020) de Tencent Security Xuanwu Lab (xlab.tencent.com)
Sandbox
Impacto: una aplicación maliciosa puede eludir ciertas preferencias de privacidad
Descripción: este problema se ha solucionado mediante una lógica de permisos mejorada.
CVE-2022-22600: Sudhakar Muthumani de Primefort Private Limited y Khiem Tran
Siri
Impacto: el personal con capacidad física para operar el dispositivo puede ser capaz de usar Siri Obtenga información de ubicación desde la pantalla de bloqueo
Descripción: los problemas de permisos se han solucionado con una verificación mejorada.
CVE-2022-22599: Andrew Goldberg, McComb School of Business, Universidad de Texas en Austin (linkedin.com/andrew-goldberg/)
Actualización de software
Impacto: una aplicación puede obtener privilegios elevados
Descripción: se ha resuelto un problema lógico mediante una gestión de estado mejorada.
CVE-2022-22639: Mickey (@patch1t)
UIKit
Impacto: los humanos con acceso físico a un dispositivo iOS pueden ver mensajes confidenciales
Descripción: Este problema se ha solucionado mediante una comprobación mejorada.
CVE-2022-22621: Joey Hewitt
VoiceOver
Impacto: una persona con acceso físico a un dispositivo iOS puede acceder a fotos desde la cerradura pantalla
Descripción: Los problemas de autenticación se han solucionado mediante una gestión de estado mejorada.
CVE-2022-22671: videosdebarraquito
WebKit
Impacto: el procesamiento de contenido web creado con fines malintencionados puede revelar información confidencial del usuario
Descripción: Los problemas de gestión de cookies se han solucionado mediante una gestión de estado mejorada.
WebKit Bugzilla: 232748 CVE-2022-22662: Prakash (@1lastBr3ath) de Threat Nix
WebKit
Impacto: el procesamiento de contenido web creado con fines malintencionados puede causar código ejecución
Descripción: Se ha solucionado un problema de corrupción de memoria mediante una gestión de estado mejorada.
WebKit Bugzilla: 232812 CVE-2022-22610: Quan Yin de Bigo Technology Live Client Team
WebKit
Impacto: el procesamiento de contenido web creado con fines malintencionados puede conducir a ejecución de código arbitrario
Descripción: se ha solucionado un problema de uso después de la liberación mediante una gestión de memoria mejorada.
WebKit Bugzilla: 233172 CVE-2022-22624: Kirin (@Pwnrin) de Tencent Security Xuanwu Lab
WebKit Bugzilla: 234147 CVE-2022-22628: Tencent Security Xuanwu Lab Kirin ( @Pwnrin)
WebKit
Impacto: el procesamiento de contenido web creado con fines malintencionados puede provocar la ejecución de código arbitrario
Descripción: solucionado mediante un manejo mejorado de la memoria, problema de desbordamiento del búfer.
WebKit Bugzilla: 234966 CVE-2022-22629: Descubierto por Jeonghoon Shin de Theori en colaboración con Trend Micro Zero Day Initiative
WebKit
Impacto: A el sitio web malicioso puede provocar un comportamiento inesperado entre orígenes
Descripción: se ha resuelto un problema lógico mediante una gestión de estado mejorada.
WebKit Bugzilla: 235294 CVE-2022-22637: Tom McKee de Google
Wi-Fi
Impacto: una aplicación maliciosa puede filtrar información confidencial del usuario
Descripción: Se ha resuelto un problema de lógica mejorando las restricciones de acceso.
CVE-2022-22668: MrPhil17