Обновления, на днях выпущенные Apple, закрыли бреши не только в криптозащите iMessage, но также почти во всех продуктах компании, в том числе в Safari, OS X, iOS, tvOS и watchOS.

Наиболее настоятельными, пожалуй, являются патчи для iOS, включенные в версию 9.3. Помимо криптографических ошибок, обнаруженных исследователями из университета Джона Хопкинса, они устраняют девять багов порчи памяти в ядре ОС и парсерах, а также возможность использования высвобожденной памяти, отказа в обслуживании и выхода за границы допустимого диапазона. В реализации HTTP-протокола закрыты множественные уязвимости, самая серьезная из них позволяет удаленно выполнить код.

Apple также в очередной раз пропатчила движок WebKit, решив в числе прочего проблему, на которую в свое время указали исследователи из Ньюкаслского университета (Великобритания). Данная уязвимость (CVE-2016-1780) позволяла получить доступ к данным о позиции и перемещении устройства пользователя с помощью скрытой веб-страницы. В итоге разработчик перекрыл доступ к таким данным при скрытом веб-представлении.

В Safari было устранено более десятка уязвимостей, семь из них связаны с WebKit и грозят подменой пользовательского интерфейса, выводом данных, неожиданными отказами и прочими неприятностями. Один из багов в WebKit (CVE-2016-1781) был обнаружен Девдаттой Акхаве (Devdatta Akhawe) из Dropbox; он схож с находкой британских студентов, так как тоже позволяет сайту отслеживать конфиденциальные данные пользователей. Apple решила эту проблему, улучшив обработку URL вложений. Еще одна аналогичная уязвимость, найденная исследователями из компании Tencent, помогала определить местоположение пользователя при его заходе на вредоносный сайт.

Патчей для брешей в Safari, продемонстрированных на Pwn2Own 2016, в новой версии нет; ожидается, что Apple подготовит соответствующие заплатки к следующему выпуску.

Новая версия OS X (El Capitan v10.11.4) устраняет 59 уязвимостей, из них 15 позволяют приложению исполнить произвольный код, в десяти случаях — с привилегиями ядра.

В watchOS Apple закрыла более 30 брешей, в tvOS — восемь. Некоторые из этих проблем присущи обеим операционным системам, так как они используют одни и те же библиотеки и расширения ядра. Таков, например, баг порчи памяти, обнаруженный в syslog исследователями из Zimperium.

Категории: Уязвимости