Informazioni sui contenuti di sicurezza dell'aggiornamento software iOS 5.0.1

Questo documento descrive i contenuti di sicurezza di iOS 5.0.1.

Questo documento descrive i contenuti di sicurezza di iOS 5.0.1, che è possibile scaricare e installare tramite iTunes.

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple consulta l'articolo "Come usare la chiave PGP per la sicurezza dei prodotti Apple".

Quando possibile, vengono utilizzati gli ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza consulta l'articolo "Aggiornamenti di sicurezza Apple".

Aggiornamento software iOS 5.0.1

• CFNetwork

  Disponibile per: iOS dalla versione 3.0 alla versione 5.0 per iPhone 3GS, iPhone 4 e iPhone 4s, iOS dalla versione 3.1 alla versione 5.0 per iPod touch (3a generazione) e versioni più recenti, iOS dalla versione 3.2 alla versione 5.0 per iPad, iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: l'accesso a un sito web pericoloso potrebbe comportare la divulgazione di informazioni riservate.

  Descrizione: si verificava un problema nella gestione di URL pericolosi in CFNetwork. L'accesso a URL HTTP o HTTPS pericolosi poteva causare l'indirizzamento di CFNetwork verso un server non corretto.

  ID CVE

  CVE-2011-3246: Erling Ellingsen di Facebook

• CoreGraphics

  Disponibile per: iOS dalla versione 3.0 alla versione 5.0 per iPhone 3GS, iPhone 4 e iPhone 4s, iOS dalla versione 3.1 alla versione 5.0 per iPod touch (3a generazione) e versioni più recenti, iOS dalla versione 3.2 alla versione 5.0 per iPad, iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: la visualizzazione di un documento con un font pericoloso incorporato potrebbe comportare l'esecuzione di codice arbitrario.

  Descrizione: si verificavano più problemi di corruzione della memoria in FreeType, il più grave dei quali poteva causare l'esecuzione di codice arbitrario durante l'elaborazione di un font pericoloso.

  ID CVE

  CVE-2011-3439: Apple

• Sicurezza dei dati

  Disponibile per: iOS dalla versione 3.0 alla versione 5.0 per iPhone 3GS, iPhone 4 e iPhone 4s, iOS dalla versione 3.1 alla versione 5.0 per iPod touch (3a generazione) e versioni più recenti, iOS dalla versione 3.2 alla versione 5.0 per iPad, iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: un malintenzionato con una posizione privilegiata sulla rete potrebbe intercettare le credenziali dell'utente o altre informazioni riservate.

  Descrizione: due autorità di certificazione presenti nell'elenco dei certificati root attendibili hanno emesso indipendentemente certificati intermedi a DigiCert Malaysia. DigiCert Malaysia ha emesso certificati con chiavi deboli che non è possibile revocare. Un malintenzionato con una posizione privilegiata sulla rete potrebbe intercettare le credenziali dell'utente o altre informazioni riservate destinate a un sito con un certificato emesso da DigiCert Malaysia. Questo problema viene risolto configurando le impostazioni di affidabilità di default del sistema in modo che i certificati emessi da DigiCert Malaysia non siano ritenuti attendibili. Ringraziamo Bruce Morton di Entrust, Inc. per aver segnalato il problema.

• Kernel

  Disponibile per: iOS dalla versione 3.0 alla versione 5.0 per iPhone 3GS, iPhone 4 e iPhone 4s, iOS dalla versione 3.1 alla versione 5.0 per iPod touch (3a generazione) e versioni più recenti, iOS dalla versione 3.2 alla versione 5.0 per iPad, iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: un'applicazione potrebbe eseguire codice non firmato.

  Descrizione: si verificava un errore logico nella verifica di combinazioni flag valide della chiamata di sistema mmap. Questo problema poteva causare un bypass dei controlli code signing e non interessa i dispositivi che eseguono versioni di iOS precedenti alla 4.3.

  ID CVE

  CVE-2011-3442: Charlie Miller di Accuvant Labs

• libinfo

  Disponibile per: iOS dalla versione 3.0 alla versione 5.0 per iPhone 3GS, iPhone 4 e iPhone 4s, iOS dalla versione 3.1 alla versione 5.0 per iPod touch (3a generazione) e versioni più recenti, iOS dalla versione 3.2 alla versione 5.0 per iPad, iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: l'accesso a un sito web pericoloso potrebbe comportare la divulgazione di informazioni riservate.

  Descrizione: si verificava un problema nella gestione delle ricerche del nome DNS in libinfo. La risoluzione di un hostname pericoloso poteva causare la visualizzazione di un risultato non corretto.

  ID CVE

  CVE-2011-3441: Erling Ellingsen di Facebook, Per Johansson di Blocket AB

• Blocco con codice

  Disponibile per: iOS dalla versione 4.3 alla versione 5.0 per iPad 2

  Impatto: una persona in grado di accedere fisicamente a un iPad 2 bloccato potrebbe riuscire ad accedere ad alcuni dati dell'utente.

  Descrizione: quando una Smart Cover viene aperta durante la conferma di spegnimento di un iPad 2 in stato di blocco, il dispositivo non richiede un codice. In questo modo è possibile accedere all'iPad, ma i dati protetti da Data Protection restano inaccessibili e le app non possono essere avviate.

  ID CVE

  CVE-2011-3440