مرکز آپا دانشگاه کردستان

آسیب‌پذیری‌های چندگانه اجرای کد دلخواه در محصولات اپل

نظری اجمالی: آسیب‌پذیری‌های چندگانه‌ای در iCloud، iTunes، Safari، Mojave، High Sierra، Sierra، tvOS، Xcode و iOS کشف شده است که شدیدترین این آسیب‌پذیری‌ها می‌تواند منجر به اجرای کد دلخواه شود که در زیر بررسی شده‌اند. • iCloud یک سرویس ذخیره‌سازی ابر است. • iTunes یک نرم‌افزار پخش‌کننده رسانه‌ای، کتابخانه رسانه‌ای، پخش آنلاین رادیو و مدیریت دستگاه‌های موبایل است که توسط اپل طراحی شده است. • Safari مرورگر وب موجود برای OS X است. • macOS Mojave یک سیستم‌عامل دسکتاپ و سرور برای رایانه‌های مکینتاش است. • High Sierra سیستم‌عامل دسکتاپ و سرور برای رایانه‌های مکینتاش است. • Sierra یک سیستم‌عامل دسکتاپ و سرور برای رایانه‌های مکینتاش است. • tvOS یک سیستم‌عامل برای دستگاه پخش دیجیتال نسل چهارم اپل تلویزیون است. • Xcode یک محیط توسعه یکپارچه شامل مجموعه‌ای از ابزارهای توسعه نرم‌افزاری است که توسط شرکت اپل ارائه شده است. • iOS یک سیستم‌عامل تلفن همراه برای دستگاه‌های تلفن همراه، از جمله iPhone، iPad و iPod touch است. بهره‌برداری موفق از این آسیب‌پذیری‌ها می‌تواند منجر به اجرای کد دلخواه در محتوای برنامه شود و مهاجم می‌تواند دسترسی‌های مشابه یک کاربر لاگین شده را داشته باشد و محدودیت‌های امنیتی را دور بزند. همچنین بسته به امتیازات مربوط به این برنامه، مهاجم می‌تواند نرم‌افزار‌ها را نصب و یا حذف کند و همچنین اطلاعات وداده‌ها را مشاهده، تغییر یا حذف کند و یا حساب‌های جدید با حقوق کامل کاربری را ایجاد کند. تهدید امنیتی: در حال حاضر هیچ گزارشی مبنی بر سوءاستفاده از این آسیب‌پذیری‌ها منتشر نشده است. سیستم‌های تحت‌تاثیر این آسیب‌پذیری‌ها: • iCloud، برای ویندوز نسخه‌های قبل از 7.11 • iTunes، برای ویندوز نسخه‌های قبل از 12.9.4 • Safari، نسخه‌های قبل از 12.1 • macOS Mojave 10.14.4، به‌روزرسانی امنیتی 2019-002برای High Sierra ، به‌روزرسانی امنیتی 2019-002برای Sierra • tvOS نسخه‌های قبل از 12.2 • Xcode نسخه‌های قبل از 10.2 • iOS نسخه‌های قبل از 12.2 ریسک پذیری و مخاطره: دولتی: • موسسات دولتی بزرگ و متوسط : زیاد • موسسات دولتی کوچک : زیاد کسب و کار و تجارت: • موسسات دولتی بزرگ و متوسط : زیاد • موسسات دولتی کوچک : زیاد کاربران خانگی: • کم خلاصه فنی: آسیب‌پذیری‌های چندگانه‌ای در iCloud، iTunes، Safari، Mojave، High Sierra، Sierra، tvOS، Xcode و iOS کشف شده است که شدیدترین این آسیب‌پذیری‌ها می‌تواند منجر به اجرای کد دلخواه شود. جزئیات این آسیب‌پذیری‌ها به شرح زیر است: • یک آسیب‌پذیری سرریز بافر مربوط به مدیریت حافظه بهبود یافته. CVE-2019-6224 • یک آسیب‌پذیری سرریز بافر مربوط به بررسی محدوده بهبود یافته. CVE-2019-6213 • یک آسیب‌پذیری XSS در مرورگر Safari، مربوط به اعتبارسنجی URL بهبود یافته. CVE-2019-6228 • یک آسیب‌پذیری منع سرویس مربوط به اعتبارسنجی بهبود یافته. CVE-2019-6219 • یک مسئله منطقی مربوط به اعتبارسنجی بهبود یافته. CVE-2019-6229 • یک مسئله مصرف حافظه مربوط به مدیریت حافظه بهبود یافته. CVE-2018-4452 • مسائل نقص حافظه مربوط به اعتبارسنجی ورودی بهبود یافته. CVE-2018-20346، CVE-2018-20505، CVE-2018-20506 • یک مسئله نقص حافظه مربوط به وضعیت امنیتی قفل بهبود یافته. CVE-2019-6205 • یک مسئله ادامه تکمیل خودکار پس از لغو شدن مربوط به مدیریت وضعیت بهبود یافته. CVE-2019-6206 • یک مسئله خواندن خارج از محدوده مربوط به اعتبارسنجی ورودی بهبود یافته که منجر به افشای حافظه کرنل می‌شود. CVE-2019-6209 • مسائل چندگانه نقص حافظه مربوط به اعتبارسنجی ورودی بهبود یافته. CVE-2019-6210، CVE-2019-6218 • مسائل چندگانه نقص حافظه مربوط به مدیریت حافظه بهبود یافته. CVE-2019-6212، CVE-2019-6216، CVE-2019-6217، CVE-2019-6226، CVE-2019-6227، CVE-2019-6233، CVE-2019-6234 • مسائل چندگانه نقص حافظه مربوط به مدیریت وضعیت بهبود یافته. CVE-2018-4467، CVE-2019-6211 • مسائل چندگانه نقص حافظه مربوط به اعتبارسنجی بهبود یافته. CVE-2019-6225، CVE-2019-6235 • مسائل مقداردهی اولیه حافظه مربوط به مدیریت حافظه بهبود یافته. CVE-2019-6208، CVE-2019-6230 • مسائل چندگانه خواندن خارج از محدوده مربوط به بررسی محدوده بهبود یافته. CVE-2019-6202، CVE-2019-6221، CVE-2019-6231 • مسائل چندگانه خواندن خارج از محدوده مربوط به اعتبارسنجی ورودی بهبود یافته. CVE-2019-6200، CVE-2019-6220 • مسائل چندگانه مبهم‌سازی نوع، مربوط به مدیریت حافظه بهبود یافته. CVE-2019-6214، CVE-2019-6215 توصیه‌ها: • بلافاصله پس از آزمایش مناسب، وصله مناسب ارائه‌شده توسط اپل، به سیستم‌های آسیب‌پذیر اعمال شود. • برای کاهش اثرات حمله موفقیت آمیز ، همه‌ نرم افزارها را به عنوان یک کاربر غیرمجاز اجرا کنید. • تذکر به کاربران برای بازدید نکردن وب‌سایت‌های با منبع نامعتبر و همچنین دنبال نکردن لینک‌های ناشناس. • اطلاع‌رسانی و آموزش کاربران در مورد تهدیدات ناشی از لینک‌های ابرمتن موجود در ایمیل‌ها یا ضمیمه‌ها مخصوصا از منابع نامعتبر و ناشناس. • اصل POLP یا Principle of Least Privilege را به تمام سیستم‌ها و سرویس‌ها اعمال کنید.