Om sikkerhedsindholdet i iPhone v2.0 og iPod Touch v2.0

iPhone v2.0 og iPod touch v2.0

• CFNetwork

  CVE-ID: CVE-2008-0050

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: En ondsindet proxyserver kan snyde sikre websteder

  Beskrivelse: En ondsindet HTTPS-proxyserver kan returnere vilkårlige data til et CFNetwork med fejlen 502 ugyldig gateway, hvilket kan snyde et sikkert websted. Denne opdatering løser problemet ved ikke at returnere de data, der leveres fra proxyserveren, når der opstår en fejl.

• Kernel

  CVE-ID: CVE-2008-0177

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: En ekstern angriber kan muligvis udløse en uventet nulstilling af enheden.

  Beskrivelse: Der findes et uregistreret fejlforhold ved håndtering af pakker med en IPComp header. Hvis der sendes en ondsindet pakke til et system, der er konfigureret til at bruge IPSec eller IPv6, kan det resultere i en uventet nulstilling af enheden. Denne opdatering løser problemet ved hjælp af korrekt registrering af fejlforholdet.

• Safari

  CVE-ID: CVE-2008-1588

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Unicodes ideografiske mellemrum kan bruges til at gøre et websted falsk

  Beskrivelse: Når Safari viser den aktuelle URL i adresselinjen, gengives Unicodes ideografiske mellemrum. På den måde kan et ondsindet websted lede brugeren til et falsk websted, der rent visuelt ser ud til at være et korrekt domain. Denne opdatering løser problemet ved ikke at gengive Unicodes ideografiske mellemrum i adresselinjen.

• Safari

  CVE-ID: CVE-2008-1589

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Besøg på et websted med skadelig software kan medføre afsløring af følsomme oplysninger

  Beskrivelse: Når Safari får adgang til et websted, der bruger et selvsigneret eller ugyldigt certifikat, beder det brugeren om at acceptere eller afvise certifikatet. Hvis brugeren trykker på menuknappen, mens meddelelsen vises, accepteres certifikatet ved næste besøg på webstedet, uden at der vises en meddelelse. Det kan føre til afsløring af følsomme oplysninger. Denne opdatering løser problemet gennem forbedret håndtering af certifikater. Tak til Hiromitsu Takagi, som har rapporteret dette problem.

• Safari

  CVE-ID: CVE-2008-2303

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

  Beskrivelse: Et signaturproblem i Safaris håndtering af JavaScript array-indekser kan føre til hukommelsesadgang uden for grænserne. Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode. Denne opdatering løser problemet ved at udføre yderligere godkendelse af JavaScript array-indekser. Tak til SkyLined fra Google, som har rapporteret dette problem.

• Safari

  CVE-ID: CVE-2006-2783

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Et besøg på et websted med ondsindet software kan føre til afvikling af instrukser på tværs af websteder

  Beskrivelse: Safari ignorerer Unicode-markeringssekvenser til byterækkefølge ved oversættelse af websteder. Visse websteder og filtre til webindhold forsøger at rense input ved at blokere bestemte HTML-koder. Denne filtreringsmetode kan forbigås og føre til instruksafvikling på tværs af websteder, når der registreres HTML-koder med ondsindet software, der indeholder markeringssekvenser til byterækkefølge. Denne opdatering løser problemet gennem forbedret håndtering af markeringssekvenser til byterækkefølge. Tak til Chris Weber fra Casaba Security, LLC, som har rapporteret dette problem.

• Safari

  CVE-ID: CVE-2008-2307

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

  Beskrivelse: WebKits håndtering af JavaScript arrays kan ødelægge hukommelsen. Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode. Denne opdatering løser problemet gennem forbedret kontrol af grænser. Tak til James Urquhart, som har rapporteret dette problem.

• Safari

  CVE-ID: CVE-2008-2317

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

  Beskrivelse: WebCores håndtering af elementer i skriftsnitsark kan ødelægge hukommelsen. Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode. Denne opdatering løser problemet gennem forbedret affaldsindsamling. Tak til Peter Vreudegnhil, som arbejder med TippingPoint Zero Day Initiative, fordi han har rapporteret dette problem.

• Safari

  CVE-ID: CVE-2007-6284

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Behandling af et XML-dokument kan føre til afvisning af tjeneste

  Beskrivelse: Der findes et problem med hukommelsesforbrug ved håndtering af XML-dokumenter, der indeholder ugyldige UTF-8-sekvenser, hvilket kan føre til afvisning af tjeneste. Denne opdatering løser problemet ved at opdatere libxml2-systembiblioteket til version 2.6.16.

• Safari

  CVE-ID: CVE-2008-1767

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Behandling af et XML-dokument kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

  Beskrivelse: Der findes et problem med hukommelsesforbrug i libxslt-biblioteket. Visning af et HTML-arkiv med skadelig software kan føre til uventet programnedbrud eller afvikling af vilkårlig kode. Der findes flere oplysninger om denne rettelse på xmlsoft.org-webstedet http://xmlsoft.org/XSLT/ Tak til Anthony de Almeida Lopes fra Outpost24 AB og Chris Evans fra Google Security Team, som har rapporteret dette problem.

• WebKit

  CVE-ID: CVE-2008-1590

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode

  Beskrivelse: Der findes et problem med ødelagt hukommelse i JavaScriptCores håndtering af affaldsindsamling under drift. Effekt: Et besøg på et skadeligt websted kan føre til uventet programnedbrud eller afvikling af vilkårlig kode. Denne opdatering løser problemet gennem forbedret affaldsindsamling. Tak til Itzik Kotler and Jonathan Rom fra Radware, som har rapporteret problemet.

• WebKit

  CVE-ID: CVE-2008-1025

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Adgang til en ondsindet URL-adresse kan resultere i afvikling af instrukser på tværs af websteder

  Beskrivelse: Der findes et problem med WebKits håndtering af URL-adresser med et kolon i værtsnavnet. Når en skadelig URL-adresse åbnes, kan det fremkalde et angreb med instrukser på tværs af websteder. Denne opdatering løser problemet gennem forbedret håndtering af URL-adresser. Tak til Robert Swiecki fra Google Security Team og David Bloom for at rapportere dette problem.

• WebKit

  CVE-ID: CVE-2008-1026

  Findes til: iPhone v1.0 til v1.1.4, iPod touch v1.1 til v1.1.4

  Effekt: Visning af en skadelig webside kan føre til uventet programnedbrud eller kørsel af vilkårlig kode

  Beskrivelse: Der sker bufferoverløb i heap under WebKit's håndtering af regulære udtryk i JavaScript. Dette problem kan opstå via JavaScript, når regulære udtryk med et stort antal indlejrede gentagelser behandles. Dette kan føre til uventet programafslutning eller kørsel af vilkårlig kode. Denne opdatering løser problemet ved at udføre yderligere validering af regulære udtryk i JavaScript. Tak til Charlie Miller fra Independent Security Evaluators, som har rapporteret dette problem.