Tietoja iOS 4.2.7:n ohjelmistopäivityksen turvallisuussisällöstä iPhonelle

Tässä asiakirjassa kerrotaan iOS 4.2.7:n ohjelmistopäivityksen turvallisuussisällöstä.

Tässä asiakirjassa kerrotaan iOS 4.2.7:n ohjelmistopäivityksen turvallisuussisällöstä. Päivityksen voi ladata ja asentaa iTunesin avulla.

Apple haluaa suojella asiakkaitaan eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

iOS 4.2.7:n ohjelmistopäivitys iPhonelle

• Certificate Trust Policy

  Saatavuus: iOS 4.2.5 – 4.2.6 iPhone 4:lle (CDMA)

  Vaikutus: etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi siepata käyttäjän kirjautumistiedot.

  Comodo-kumppanirekisteröintiviranomainen myönsi useita vilpillisiä SSL-varmenteita. Tämä saattoi mahdollistaa sen, että välimieshyökkääjä uudelleenohjasi yhteyksiä ja sai haltuunsa käyttäjän tunnistetiedot tai muita luottamuksellisia tietoja. Ongelma on ratkaistu lisäämällä vilpilliset varmenteet mustalle listalle.

  Huom. Mac OS X -järjestelmissä ongelam on ratkaistu suojauspäivityksessä 2011-002. Windows-järjestelmissä Safari luottaa isännän käyttöjärjestelmän varmennekauppaan sen määrittämiseksi, onko SSL-varmenne luotettava. Microsoft Knowledge Base -tietokannan artikkelissa 2524375 kuvatun päivityksen käyttöönotto saa Safarin pitämään näitä varmenteita epäluotettavina. Artikkeli on saatavilla osoitteessa http://support.microsoft.com/kb/2524375

• QuickLook

  Saatavuus: iOS 4.2.5 – 4.2.6 iPhone 4:lle (CDMA)

  Vaikutus: Haitallisen Microsoft Office -tiedoston tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mahdollistaa mielivaltaisen ohjelmakoodin suorittamisen.

  Kuvaus: QuickLookin tavassa käsitellä Microsoft Office -tiedostoja oli muistinvioittumisongelma. Haitallisen Microsoft Office -tiedoston tarkasteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

  CVE-ID

  CVE-2011-1417 : TippPointin Zero Day Initiativen parissa työskentelevät Charlie Miller ja Dion Blazakis

• WebKit

  Saatavuus: iOS 4.2.5 – 4.2.6 iPhone 4:lle (CDMA)

  Vaikutus: haitallisella verkkosivustolla käynti saattoi johtaa apin odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

  Kuvaus: solmujoukkojen käsittelyssä oli kokonaisluvun ylivuoto. Haitallisessa verkkosivustossa käyminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

  CVE-ID

  CVE-2011-1290: TippingPointin Zero Day Initiativen parissa työskentelevät Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp Weinmann ja nimetön tutkija

• WebKit

  Saatavuus: iOS 4.2.5 – 4.2.6 iPhone 4:lle (CDMA)

  Vaikutus: haitallisella verkkosivustolla käynti saattoi johtaa apin odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

  Kuvaus: tekstisolmujen käsittelyssä oli use-after-free-ongelma. Haitallisessa verkkosivustossa käyminen saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

  CVE-ID

  CVE-2011-1344: TippingPointin Zero Day Initiativen parissa työskentelevä Vupen Security ja Martin Barbella