Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2019-8827

Опубликовано: 27 окт. 2020
Источник: nvd
CVSS3: 4.3
CVSS2: 4.3
EPSS Низкий

Уязвимость утечки посещённых веб-страниц через заголовок HTTP-реферера в продуктах Apple

Описание

Заголовок HTTP-реферера используется для утечки истории посещений веб-страниц. Посещение специально созданного злоумышленником веб-сайта способно раскрыть сайты, которые пользователь уже посещал.

Затронутые версии ПО

  • Safari до версии 13.0.3
  • iTunes для Windows до версии 12.10.2
  • iCloud для Windows до версии 10.9.2
  • tvOS до версии 13.2
  • iOS до версии 13.2
  • iPadOS до версии 13.2
  • iCloud для Windows до версии 7.15

Исправление

Проблема решается путём понижения всех сторонних рефереров до их происхождения. Уязвимость исправлена в указанных версиях.

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:apple:icloud:*:*:*:*:*:windows:*:*
Версия до 7.15 (исключая)
cpe:2.3:a:apple:icloud:*:*:*:*:*:windows:*:*
Версия от 10.0 (включая) до 10.9.2 (исключая)
cpe:2.3:a:apple:itunes:*:*:*:*:*:windows:*:*
Версия до 12.10.2 (исключая)
cpe:2.3:a:apple:safari:*:*:*:*:*:*:*:*
Версия до 13.0.3 (исключая)
cpe:2.3:o:apple:ipados:*:*:*:*:*:*:*:*
Версия до 13.2 (исключая)
cpe:2.3:o:apple:iphone_os:*:*:*:*:*:*:*:*
Версия до 13.2 (исключая)
cpe:2.3:o:apple:tvos:*:*:*:*:*:*:*:*
Версия до 13.2 (исключая)

EPSS

Процентиль: 69%
0.00609
Низкий

4.3 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

NVD-CWE-noinfo

Связанные уязвимости

github логотип

GHSA-8r87-v426-r4cm

github
больше 3 лет назад

The HTTP referrer header may be used to leak browsing history. The issue was resolved by downgrading all third party referrers to their origin. This issue is fixed in Safari 13.0.3, iTunes 12.10.2 for Windows, iCloud for Windows 10.9.2, tvOS 13.2, iOS 13.2 and iPadOS 13.2, iCloud for Windows 7.15. Visiting a maliciously crafted website may reveal the sites a user has visited.

EPSS

Процентиль: 69%
0.00609
Низкий

4.3 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

NVD-CWE-noinfo