iOS 14 和 iPadOS 14 的发布带来了 11 个漏洞的修复，其中一些漏洞具有很高的严重性。
苹果已经更新了其 iOS 和 iPadOS 操作系统，从而解决了其 iPhone，iPad 和 iPod 设备中的一系列漏洞。其中最严重的攻击者可能使对手利用针对任何设备的特权升级漏洞，并最终获得任意代码执行。
该漏洞已于周三发布，作为 Apple 发布其 iOS 14 和 iPadOS 14 安全更改日志的一部分。苹果总共解决了 11 个产品和组件中的漏洞，包括 AppleAVD，Apple Keyboard，WebKit 和 Siri。可以在下面找到 CVE 的列表。
Apple 并未评价其安全漏洞，但粗略回顾 CVE 描述表明，已修补了范围广泛的相关漏洞。例如，Siri 错误允许具有 iPhone 物理访问权限的人从锁定屏幕查看通知内容。另一个错误与恶意制作的 3D Pixar 文件有关，该文件称为 “通用场景描述（USD）”，该文件可能允许攻击者在特定型号的 iOS 设备上执行任意代码。
高严重性特权升级错误：CVE-2020-9992
据 IBM X-Force 的研究人员称，Apple 修补的最重要的漏洞之一是特权升级漏洞，影响了 Apple iOS 和 iPadOS（最高 13.7）。追踪为 CVE-2020-9992，如果诱骗目标打开特制文件，则可以利用此漏洞。
概述该漏洞的安全公告说：“攻击者可以利用此漏洞在网络上的调试会话期间在配对设备上执行任意代码。”
Apple 将该漏洞归因于一个未识别的集成驱动电子（IDE）组件，该组件是用于将数据从设备的主板（或电路板）传递到设备的存储组件的接口。
苹果在周三发布的全更新页面上写道：“通过加密与运行 iOS 14，iPadOS 14，tvOS 14 和 watchOS 7 的设备之间的网络通信来解决此问题。”
研究人员 Dany Lisiansky 和 Nikias Bassen 因发现该漏洞而受到赞誉。苹果在其安全公告中还感谢 Google Project Zero 的 Brandon Azad 的协助。苹果公司和研究人员都拒绝透露与该漏洞有关的更多细节。
一份 X-Force 漏洞报告将该漏洞评为高度严重，并揭示了与 CVE-2020-9992 相关的更多细节。那里的研究人员认为，该漏洞与苹果名为 Xcode 的开发工具集有关。苹果将 Xcode 描述为 “用于为 Mac，iPhone，iPad，Apple Watch 和 Apple TV 创建应用程序的完整开发人员工具集。”
“由于 IDE 设备支持组件中的漏洞，Apple Xcode 可能允许经过身份验证的远程攻击者在系统上执行任意代码。通过诱使受害者打开特制文件，攻击者可以利用此漏洞在网络上的调试会话期间在配对设备上执行任意代码。” X-Force 的研究人员写道。
他们说，该漏洞会影响 Apple Xcode 11.7。研究人员表示，该组件位于苹果的 macOS Mojave 10.15.4、10.15.5 和 10.15.6 中（Mojave 于 2018 年 9 月推出，并于同年 6 月宣布在全球开发者大会上发布）。有趣的是，X-Force 表示攻击并不复杂，具有 “低” 特权的攻击者可以轻松利用该漏洞。
苹果公司周三发布的 Xcode 12.0 缓解了该漏洞。
其他补丁
周四发布的有关 Apple 安全修复程序的其他信息包括：
AppleAVD/CVE-2020-9958。
影响：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：应用程序可能会导致系统意外终止或写入内核内存。说明：通过改进的边界检查解决了越界写入问题。
Cedit: Mohamed Ghannam (@_simo36)
Assets/CVE-2020-9979
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：攻击者可能会滥用可信任的关系来下载恶意内容。说明：通过删除旧版 API 解决了信任问题。
Credit: CodeColorist of Ant-Financial LightYear Labst
Icons/CVE-2020-9773
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：恶意应用程序可能能够识别用户安装了哪些其他应用程序。说明：通过改进对图标缓存的处理解决了该问题。
Credit: Chilik Tamir of Zimperium zLabs
IOSurfaceAccelerator / CVE-2020-9964
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：本地用户可能能够读取内核内存。说明：通过改进的内存处理解决了内存初始化问题。
Credit: Mohamed Ghannam (@_simo36), Tommy Muir (@Muirey03)
Keyboard/CVE-2020-9976
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：恶意应用程序可能能够泄露敏感的用户信息。说明：改进了状态管理，解决了逻辑问题。
Credit: Rias A. Sherzad of JAIDE GmbH in Hamburg, Germany
Model I/O/CVE-2020-9973
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：处理恶意制作的 USD 文件可能会导致应用程序意外终止或任意代码执行。说明：通过改进的边界检查解决了越界读取问题。
Credit: Aleksandar Nikolic of Cisco Talos
Phone/CVE-2020-9946
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：在指定的时间段后，屏幕锁定可能不会起作用。说明：此问题已通过改进检查得到解决。
Credit: Daniel Larsson of iolight AB
Sandbox/CVE-2020-9968
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：恶意应用程序可能能够访问受限制的文件。说明：逻辑问题已通过改进的限制得到解决。
Credit: Adam Chester(@xpn) of TrustedSec
Siri / CVE-2020-9959
适用于：iPhone 6S 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：可以实际访问 iOS 设备的人可以从锁定屏幕查看通知内容。说明：锁屏问题允许访问锁定设备上的消息。通过改进状态管理解决了该问题。
Credit: Five anonymous researchers, Andrew Goldberg at The University of Texas at Austin, McCombs School of Business, Meli̇h Kerem Güneş of Li̇v College, Sinan Gulguler
WebKit / CVE-2020-9952
适用于：iPhone 6s 和更高版本，iPod touch 第 7 代，iPad Air 2 和更高版本以及 iPad mini 4 和更高版本。影响：处理恶意制作的 Web 内容可能会导致跨站点脚本攻击。描述：改进输入验证解决了输入验证问题。
以上文章部分内容采集于网络，如有侵权请联系未来云客服处理，谢谢！