Sprachen

Informationen zum Sicherheitsinhalt der iPhone 1.1.1 Aktualisierung

Dieses Dokument beschreibt den Sicherheitsinhalt der iPhone 1.1.1 Aktualisierung.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Programmkorrekturen oder Versionen verfügbar sind. Nähere Informationen zur Apple Produktsicherheit finden Sie auf der Website Produktsicherheit von Apple.

Informationen zum Apple Produktsicherheits-PGP-Schlüssel finden Sie hier: "So verwenden Sie den Apple Produktsicherheits-PGP-Schlüssel".

Nach Möglichkeit werden für die Bezugnahme auf die Schwachstellen zur weiteren Information CVE IDs verwendet.

Informationen zu weiteren Security Updates finden Sie hier: "Apple Security Updates".

iPhone 1.1.1 Aktualisierung

  • Bluetooth

    CVE-ID: CVE-2007-3753

    Auswirkung: Entfernte Angreifer innerhalb des Bluetooth-Bereichs können eine unerwartete Programmbeendigung oder die Ausführung willkürlichen Codes verursachen.

    Beschreibung: Beim Bluetooth-Server des iPhone tritt ein Problem mit der Eingabevalidierung auf. Dieses Problem kann von einem Angreifer ausgelöst werden, indem in böser Absicht erstellte Service Discovery Protocol (SDP)-Pakete an ein iPhone mit aktivierter Bluetooth-Funktion gesendet werden, was zu einer unerwarteten Programmbeendigung oder zur Ausführung willkürlichen Codes führen kann. Diese Aktualisierung behebt das Problem, indem eine zusätzliche Validierung von SDP-Paketen erfolgt. Wir danken Kevin Mahaffey und John Hering von Flexilis Mobile Security für die Meldung dieses Problems.

  • Mail

    CVE-ID: CVE-2007-3754

    Auswirkung: Das Abrufen von E-Mails über nicht vertrauenswürdige Netzwerke kann über einen Man-in-the-middle-Angriff zur Preisgabe von Informationen führen.

    Beschreibung: Wenn Mail so konfiguriert ist, dass für eingehende und ausgehende Nachrichten SSL verwendet wird, wird der Benutzer nicht eigens darauf hingewiesen, dass sich die Identität des Mail-Servers geändert hat oder nicht vertrauenswürdig ist. Ein Angreifer, der die Verbindung abfangen kann, könnte sich über den Mail-Server des Benutzers Zugang zu dessen Identifikationsdaten oder anderen vertraulichen Daten verschaffen. Mit dieser Aktualisierung wird das Problem behoben, indem explizit auf eine Identitätsänderung des entfernten Mail-Servers hingewiesen wird.

  • Mail

    CVE-ID: CVE-2007-3755

    Auswirkung: Durch das Aufrufen eines Links mit einer Telefonnummer ("tel:") in Mail wird eine Telefonnummer ohne Bestätigung des Benutzers gewählt.

    Beschreibung: Mail unterstützt Links, die Telefonnummern enthalten, ("tel:) zum Wählen von Telefonnummern. Indem ein Benutzer dazu verleitet wird, einen solchen Link in einer E-Mail aufzurufen, kann ein Angreifer ohne die Bestätigung des Benutzers mit dem iPhone einen Anruf tätigen. Mit dieser Aktualisierung wird das Problem dadurch behoben, dass der Benutzer zunächst bestätigen muss, dass er die entsprechende Telefonnummer wählen möchte. Wir danken Andi Baritchi von McAfee für die Meldung dieses Problems.

  • Safari

    CVE-ID: CVE-2007-3756

    Auswirkung: Das Aufrufen einer in böser Absicht erstellten Website kann zur Preisgabe von URL-Inhalten führen.

    Beschreibung: Ein Designproblem in Safari ermöglicht es einer Webseite, die URL zu lesen, die gerade im übergeordneten Fenster angezeigt wird. Indem ein Benutzer dazu verleitet wird, eine in böser Absicht erstellte Website zu besuchen, erhält ein Angreifer unter Umständen die URL einer anderen Webseite. Mit diesem Update wird das Problem durch verbesserte domänenübergreifende Sicherheitsüberprüfungen behoben. Wir danken Michal Zalewski von Google Inc. und Secunia Research für die Meldung dieses Problems.

  • Safari

    CVE-ID: CVE-2007-3757

    Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann dazu führen, dass unbeabsichtigt eine Telefonnummer gewählt wird bzw. dass eine andere Telefonnummer als erwartet gewählt wird.

    Beschreibung: Safari unterstützt Telefon-Links ("tel:") zum Wählen von Telefonnummern. Wenn ein Link aufgerufen wird,der eine Telefonnummer enthält, bestätigt Safari, dass die Telefonnummer gewählt werden soll. Ein solcher in böser Absicht erstellter Link kann dazu führen, dass während des Bestätigungsvorgangs eine andere Telefonnummer angezeigt wird als die eigentlich gewählte. Das Beenden von Safari während des Bestätigungsvorgangs kann eine unbeabsichtigte Bestätigung zur Folge haben. Mit dieser Aktualisierung wird das Problem behoben, indem die Nummer, die gewählt werden soll, korrekt angezeigt wird und der Benutzer bei Links, die eine Telefonnummer enthalten, zur Bestätigung aufgefordert wird. Wir danken Billy Hoffman und Bryan Sullivan von HP Security Labs (ehemals SPI Labs) und Eduardo Tang für die Meldung dieses Problems.

  • Safari

    CVE-ID: CVE-2007-3758

    Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann siteübergreifendes Skripting ermöglichen.

    Beschreibung: In Safari existiert eine siteübergreifende Skripting-Schwachstelle, welche es in böser Absicht erstellten Websites ermöglicht, JavaScript-Fenstereigenschaften von Websites festzulegen, die von einer anderen Domain bereitgestellt werden. Indem ein Benutzer zum Besuch einer in böser Absicht erstellten Website verleitet wird, kann ein Angreifer dieses Problem auslösen, was dazu führt, dass der Fensterstatus und der Ort von Seiten, die von anderen Websites bereitgestellt werden, angezeigt oder eingestellt werden. Mit dieser Aktualisierung wird das Problem durch verbesserte Zugriffskontrollen auf diese Eigenschaften behoben. Wir danken Michal Zalewski von Google Inc. für die Meldung dieses Problems.

  • Safari

    CVE-ID: CVE-2007-3759

    Auswirkung: Das Deaktivieren von JavaScript wird erst wirksam, nachdem Safari neu gestartet wurde.

    Beschreibung: Safari kann so konfiguriert werden, dass JavaScript entweder aktiviert oder deaktiviert ist. Diese Einstellung hat bis zu einem Neustart von Safari keine Auswirkungen. Dies tritt meist dann auf, wenn das iPhone neu gestartet wird. Dadurch könnten Benutzer fälschlicherweise annehmen, dass JavaScript deaktiviert wurde, wenn dies in Wirklichkeit gar nicht der Fall ist. Mit dieser Aktualisierung wird das Problem behoben, indem die jeweils aktuelle Einstellung vor dem Laden neuer Websites angewandt wird.

  • Safari

    CVE-ID: CVE-2007-3760

    Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu siteübergreifendem Skripting führen.

    Beschreibung: Siteübergreifendes Skripting in Safari ermöglicht es einer in böser Absicht erstellten Website, die Richtlinien zum gleichen Ursprung mithilfe von "Frame"-Tags zu umgehen. Indem ein Benutzer dazu verleitet wird, eine in böser Absicht erstellte Website zu besuchen, kann das Problem ausgelöst werden, was zur Ausführung von JavaScript im Kontext einer anderen Website führt. Mit dieser Aktualisierung wird das Problem behoben, indem JavaScript als "iframe"-Quelle deaktiviert wird und JavaScript in Frame-Tags auf denselben Zugriff beschränkt wird wie die Website, von der es bereit gestellt wurde. Wir danken Michal Zalewski von Google Inc. und Secunia Research für die Meldung dieses Problems.

  • Safari

    CVE-ID: CVE-2007-3761

    Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu siteübergreifendem Skripting führen.

    Beschreibung: Siteübergreifendes Skripting in Safari ermöglicht, dass JavaScript-Ereignisse mit dem falschen Frame verbunden werden. Indem ein Benutzer dazu verleitet wird, eine in böser Absicht erstellte Website zu besuchen, kann ein Angreifer die Ausführung von JavaScript im Kontext einer anderen Website verursachen. Mit dieser Aktualisierung wird das Problem behoben, indem JavaScript-Ereignisse mit dem korrekten Quell-Frame verbunden werden.

  • Safari

    CVE-ID: CVE-2007-4671

    Auswirkung: JavaScript auf Websites könnte auf Inhalte von Dokumenten, die über HTTPS bereitgestellt werden, zugreifen oder sie manipulieren.

    Beschreibung: Ein Problem in Safari ermöglicht, dass Inhalte, die über HTTP bereitgestellt werden werden, auf Inhalte, die über dieselbe Domain per HTTPS bereitgestellt werden, zugreifen und diese ändern können. Indem ein Benutzer dazu verleitet wird, eine in böser Absicht erstellte Webseite zu besuchen, kann ein Angreifer die Ausführung von JavaScript im Kontext von HTTPS-Webseiten bei dieser Domain verursachen. Mit dieser Aktualisierung wird das Problem behoben, indem der Zugriff zwischen JavaScript, das in HTTP- und HTTPS-Frames ausgeführt wird, beschränkt wird. Wir danken Keigo Yamazaki von LAC Co., Ltd. (Little eArth Corporation Co., Ltd.) für die Meldung dieses Problems.

Installationshinweis:

Auf diese Aktualisierung kann nur über iTunes zugegriffen werden. Sie wird nicht im Abschnitt "Software-Aktualisierung" Ihres Computers und nicht im Abschnitt "Downloads" der Apple Website angezeigt. Vergewissern Sie sich, dass Sie über eine Internet-Verbindung verfügen und die neueste iTunes Version von www.apple.com/de/itunes geladen haben.

iTunes sucht wöchentlich automatisch auf dem Update Server von Apple nach Aktualisierungen. Wenn eine Aktualisierung verfügbar ist, wird sie geladen. Wenn das iPhone mit dem Dock verbunden ist, erhält der Benutzer die Möglichkeit, die Aktualisierung zu installieren. Apple empfiehlt, die Aktualisierung wenn möglich immer sofort zu installieren. Wenn Sie "Nicht installieren (Don't Install)" wählen, wird die Option erneut angezeigt, wenn Sie das iPhone das nächste Mal anschließen.

Der automatische Aktualisierungsvorgang kann u. U. erst nach einer Woche erfolgen, je nachdem, an welchem Tag iTunes nach Aktualisierungen sucht. Sie können die Aktualisierung in iTunes manuell über die Option "Nach Aktualisierungen suchen (Check for Update)" installieren. Danach kann die Aktualisierung installiert werden, wenn das iPhone am Dock des Computers angeschlossen ist.

So überprüfen Sie, ob das iPhone aktualisiert wurde:

  1. Rufen Sie die Option "Einstellungen (Settings)" auf.
  2. Klicken Sie in "Allgemein (General)".
  3. Klicken Sie in "Über (About)". Nach der Aktualisierung lautet die Version "1.1.1 (3A109a)".
Zuletzt geändert: 29.05.2008
Hilfreich?
Ja
Nein
Not helpful Somewhat helpful Helpful Very helpful Solved my problem
Diese Seite drucken
  • Zuletzt geändert: 29.05.2008
  • Artikel: HT1571
  • Aufrufe:

    206858
  • Bewertung:
    • 80.0

    (3 Antworten)

Zusätzliche Supportinformationen zum Produkt