Notiz WebKit: Apple behebt kritische Schwachstellen in Safari

[chartmix]

Das ist so bei macOS - wenn der Support ausläuft gibts keine Updates mehr - weder für den Browser noch sonstwas. Dann sollte ein alternativer Browser installiert werden.

Das nützt einem iPhone-Nutzer aber nichts. Ist ja alles Webkit.

 

[Nobody007]

Bei Android wird der Browser dann einfach über den Play Store geupdatet.

Ja, das ist dann natürlich ein Vorteil.

Ergänzung (5. Mai 2021)

Ich weiß nicht, wie du darauf kommst, gerade hier über Android herziehen zu müssen. Es macht einfach überhaupt keinen Sinn.

Okay, dann nehm ich es zurück.
Aber die Vergangenheit zeigt, dass Android mit Sicherheitsaktualisierungen so manchmal Probleme hat. Aber is nur meine Meinung, wenn ich ne andere hätte, dann würde ich wahrscheinlich auf Android setzen und nicht auf iOS.

 

[Irrlicht_01]

@chartmix
naja, alles ab iPhone 6S unterstützt das aktuelle iOS 14
Und das kein iOS 12 Update kommt ist ja noch nicht gesagt. iPhone 6 und älter sind aber auch bei immer weniger Nutzern im Einsatz.

 

[FrAGgi]

Rund 3Gb musste ich laden. Die Installation auf einem MacBook Pro 13" (2019) hat fast eine halbe Stunde gedauert, während der das MacBook nicht benutzt werden konnte. Nach der Installation musste ich mich wieder bei iCloud anmelden (oder überspringen) und wurde wieder genervt Siri zu aktivieren (oder überspringen). Und das nur, weil Lücken in WebKit gefixt wurden.

Nur als Info, falls jemand wieder über Windows Updates schimpfen will
(Und ja, ich nutze mein MacBook trotzdem gerne und ja, ich bin auch unter Windows problemos unterwegs)

 

[Irrlicht_01]

Ich weiß ehrlich gesagt garnicht, warum hier wieder eine Android/Apple Diskussion bzw. Argumentation aufkommt.

Ich habe beides im Einsatz - iPhone SE 1st gen und Xiaomi Mi Mix 2S.
"Partei" für eine Seite zu ergreifen aufgrund eines Sicherheitspatches ist einfach nur befremdlich...

 

[Iwwazwersch]

@SV3N Auch die älteren Apple Modelle mit iOS 12 haben Updates erhalten:

https://support.apple.com/de-de/HT209084

 

[knoxxi]

Ich weiß ehrlich gesagt garnicht, warum hier wieder eine Android/Apple Diskussion bzw. Argumentation aufkommt

Amen und dann ist das Thema bitte auch bei den Akten.

 

[Sebbi]

Apple ist da in der Regel sehr schnell. Ich denke daher mal 1-2 Wochen, aber das ist nur eine Schätzung.

hmmm eher nicht. Lücke seit 2012, ausnutzung seit 2018

https://www.focus.de/digital/handy/...zen-sich-iphone-nutzer-jetzt_id_11928284.html

oder auch sehr lange trotzdem die bekannt ist:

https://www.macprime.ch/a/news/appl...heitsluecken-in-os-x-und-ios-monatelang-offen
https://www.derstandard.de/story/20...luecke-in-sudo-bleibt-bei-macos-vorerst-offen

und das Apple keine gute QS Abteilung in der Richtung Bugfix etc hat sondern nur für das Optische Design scheint ja auch Realität zu sein:

https://www.futurezone.de/digital-l...erheitsluecke-bestand-schon-seit-Monaten.html (vorletzter Satz)

 

[SVΞN]

Artikel-Update: iOS 12.5.3 schließt Sicherheitslücken in WebKit
Auch ältere Geräte wie das iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, und der iPod touch der 6. Generation haben mit iOS 12.5.3 ein Update erhalten, welches die beiden Sicherheitslücken in WebKit schließt.

Spoiler: iOS 12.5.3 – Release Notes

WebKit

• Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation)
• Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
• Description: A buffer overflow issue was addressed with improved memory handling.
• CVE-2021-30666: yangkang (@dnpushme)&zerokeeper&bianliang of 360 ATA

WebKit

• Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation)
• Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
• Description: A memory corruption issue was addressed with improved state management.
• CVE-2021-30665: yangkang (@dnpushme)&zerokeeper&bianliang of 360 ATA

WebKit

• Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation)
• Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
• Description: An integer overflow was addressed with improved input validation.
• CVE-2021-30663: an anonymous researcher

WebKit Storage

• Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation)
• Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
• Description: A use after free issue was addressed with improved memory management.
• CVE-2021-30661: yangkang (@dnpushme)&zerokeeper&bianliang of 360 ATA

Weitere Informationen liefern die offiziellen Release Notes zu iOS 12.5.3.

Die Redaktion dankt Community-Mitglied „iwwazwersch“ für den Hinweis zu diesem Update.

 

[-equal-]

Mein altes iPhone 7 hat heute auch ein Update bekommen

 

[Sammy2k8]

Mich nervt Apples Vorgehen hier etwas, weil wir in der Firma iPhones einsetzen und die Leute dann immer zum updaten

Mh wenn die Geräte ordentlich supervised im Pool sind und die MDM etwas taugt, kann man diese Geräte hübsch aus der Ferne zum Updaten zwingen. Da braucht es nicht mal eine Interaktion des Benutzers. Nur laufen muss das Gerät halt.

Cooler wird es mit der Einführung der Branches. Also der Abspaltung von Basis Software und Security Patches. Mal sehen wann das los geht. 👍🏻

 

[Conqi]

kann man diese Geräte hübsch aus der Ferne zum Updaten zwingen.

Genau das tun wir natürlich, aber da schmeißt einem Apple ja gleich den nächsten Stock in die Speichen: Systemupdates gibt es nicht über Mobilfunk und Zugang zu fremden WLANs haben wir gesperrt. Also durften wir erstmal allen im Homeoffice Zugang zu ihrem WLAN einrichten, damit wir noch Updates fahren können.

 

[mischaef]

@iJoshi
Wenn ich hier lese, dass manche noch nicht ganz so alten MacOs-Versionen das Update nicht erhalten, würde ich mich über andere Systeme nicht lustig machen. Bei Windows hätte ich das Problem z.b. in der Form nicht.

Mal dvon abgesehen, dass sich bei Android in der letzten Zeit in der Hinsicht einiges getan hat. Das es zudem bei Adnroid mehrere Ebenen der Update-Verteilung gibt wurde zudem ja schon angesprochen. Da würde einfach der Browser ein Update erhalten und gut - da muss nicht auf Systemupdates gewartet werden.

 

[Nobody007]

Wenn ich hier lese, dass manche noch nicht ganz so alten MacOs-Versionen das Update nicht erhalten, würde ich mich über andere Systeme nicht lustig machen. Bei Windows hätte ich das Problem z.b. in der Form nicht.

Wollt kein Bashing betreiben, mir ging es nur darum, dass wenn man gerade hier auf CB liest, dass gefühlt jedes Windows Update dermaßen Probleme generiert, dass das schon nicht mehr normal ist.

 

[Cool Master]

hmmm eher nicht......

Deswegen schrieb ich "in der Regel"... Es wird immer Fälle geben wo es dauert warum auch immer.

 

[foo_1337]

hmmm eher nicht. Lücke seit 2012, ausnutzung seit 2018

Dir ist aber schon klar, dass das gängig und üblich ist? Das ist sowohl bei diverser kommerzieller wie auch auch bei OSS Software aus den 80ern der Fall oder wie jüngst beim Beispiel Exim: CVE-2020-28017 ist seit 2004 vorhanden und erst jetzt entdeckt worden. Und der Source Code war schon immer für jeden einsehbar.