Tietoja iPhone v2.0:n ja iPod touch v2.0:n turvallisuussisällöstä
Yhteenveto
Tämä asiakirja käsittelee iPhone v2.0:n ja iPod touch v2.0:n turvallisuussisältöä.
Suojellakseen asiakkaitaan Apple ei paljasta tai anna tietoja tietoturvaongelmista tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustolla.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa "Miten käytetään Applen tuoteturvallisuuden PGP-avainta".
CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viitteinä haavoittuvuuksien lisätietoihin.
Tietoja muista turvallisuuspäivityksistä on artikkelissa "Applen turvallisuuspäivitykset".
Tuotteet, joita asia koskee
Tuoteturvallisuus
iPhone v2.0 ja iPod touch v2.0
-
CFNetwork
CVE-ID: CVE-2008-0050
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Vihamielinen välipalvelin voi huijata suojattuja verkkosivustoja.
Kuvaus: Vihamielinen HTTPS-välipalvelin saattaa palauttaa CFNetworkille määrittelemättömiä tietoja 502 Huono yhdyskäytävä -virheen muodossa, mikä mahdollistaa suojatun verkkosivuston huijaamisen. Tämä päivitys korjaa ongelman sillä, että välipalvelimelta saatuja tietoja ei virhetilanteessa palauteta.
-
Kernel
CVE-ID: CVE-2008-0177
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Etähyökkääjä saattaa nollata laitteen odottamatta.
Kuvaus: IPComp-otsikolla varustettujen pakettien käsittelyssä esiintyy havaitsematon virhetila. Haitallisen paketin lähettäminen järjestelmään, joka on asetettu käyttämään IPSec- tai IPv6-paketteja, saattaa aiheuttaa laitteen odottamattoman nollauksen. Tämä päivitys korjaa ongelman tunnistamalla virhetilan oikein.
-
Safari
CVE-ID: CVE-2008-1588
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Unicode-muotoisia ideografisia välilyöntejä voidaan käyttää verkkosivustojen huijaamiseen.
Kuvaus: Kun Safari näyttää nykyisen URL-osoitteen osoiterivillä, siinä käytetään Unicode-muotoisia ideografisia välilyöntejä. Ne antavat haitalliselle verkkosivustolle mahdollisuuden ohjata käyttäjä huijaussivustoon, joka näyttää päällisin puolin olevan asiallinen toimialue. Tämä päivitys korjaa ongelman estämällä Unicode-muotoisten ideografisten välilyöntien käytön osoiterivillä.
-
Safari
CVE-ID: CVE-2008-1589
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa johtaa arkaluonteisten tietojen paljastumiseen.
Kuvaus: Kun Safarilla käydään verkkosivustossa, jossa käytetään itse allekirjoitettua tai virheellistä varmennetta, Safari kehottaa käyttäjää hyväksymään tai hylkäämään varmenteen. Jos käyttäjä painaa kehotteen kohdalla valikkopainiketta, varmenne hyväksytään verkkosivuston seuraavalla avauskerralla ilman kehotetta. Arkaluonteisia tietoja saattaa paljastua. Tämä päivitys korjaa ongelman entistä paremmalla varmenteiden käsittelyllä. Kiitos Hiromitsu Takagille tästä ongelmasta ilmoittamisesta.
-
Safari
CVE-ID: CVE-2008-2303
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Safarin JavaScript-taulukon allekirjoitusongelma saattaa johtaa rajoitukset ylittävään muistin käyttöön. Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman suorittamalla ylimääräisen JavaScriptin taulukkoindeksien tarkistuksen. Kiitos Googlen SkyLinedille tästä ongelmasta ilmoittamisesta.
-
Safari
CVE-ID: CVE-2006-2783
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sivustojenvälisen komentosarjahyökkäyksen.
Kuvaus: Safari ohittaa Unicoden tavujärjestysmerkkijaksot verkkosivustoja jäsennettäessä. Jotkin verkkosivustot ja verkkosisällön suodattimet yrittävät puhdistaa syötettä estämällä tietyt HTML-tagit. Tämä suodatustapa voidaan ohittaa, mikä saattaa aiheuttaa sivustojenvälisen komentosarjahyökkäyksen, kun kohdataan tavujärjestysmerkkijaksoja sisältäviä vihamielisiä HTML-tageja. Tämä päivitys korjaa ongelman tavujärjestysmerkkijaksojen parannetun käsittelyn avulla. Kiitos Casaba Security, LLC:n Chris Weberille tästä ongelmasta ilmoittamisesta.
-
Safari
CVE-ID: CVE-2008-2307
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: WebKitin JavaScript-taulukoiden käsittelyyn liittyy muistin vioittumisongelma. Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman rajojen parannetun tarkastuksen avulla. Kiitos James Urquhartille tämän ongelman ilmoittamisesta.
-
Safari
CVE-ID: CVE-2008-2317
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: WebCoren tyylisivuelementtien käsittelyssä esiintyy muistin vioittumisongelma. Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parannetun muistinsiivouksen avulla. Kiitos TippingPoint Zero Day Initiativen Peter Vreudegnhilille tästä ongelmasta ilmoittamisesta.
-
Safari
CVE-ID: CVE-2007-6284
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: XML-asiakirjan käsittely saattaa aiheuttaa palvelupyynnön hylkäämisen.
Kuvaus: Virheellisiä UTF-8-jaksoja sisältävien XML-asiakirjojen käsittelyssä esiintyy muistinkäyttöongelma, joka saattaa aiheuttaa palvelupyynnön hylkäämisen. Tämä päivitys korjaa ongelman päivittämällä libxml2-järjestelmäkirjaston versioksi 2.6.16.
-
Safari
CVE-ID: CVE-2008-1767
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: XML-asiakirjan käsittely saattaa johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen.
Kuvaus: libxslt-kirjastossa esiintyy muistin vioittumisongelma. Vaikutus: Haitallisen HTML-sivun selaaminen saattaa johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen. Lisätietoja käytetystä korjaustiedostosta on xmlsoft.org-verkkosivustossa osoitteessa http://xmlsoft.org/XSLT/ Kiitos Outpost24 AB:n Anthony de Almeida Lopesille ja Google Security Teamin Chris Evansille tästä ongelmasta ilmoittamisesta.
-
WebKit
CVE-ID: CVE-2008-1590
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen.
Vaikutus: JavaScriptCoren käytönaikaisessa muistinsiivouksessa esiintyy muistin vioittumisongelma. Haitallisen verkkosivuston selaaminen saattaa aiheuttaa sovelluksen odottamattoman lopettamisen tai mielivaltaisen koodin suorittamisen. Tämä päivitys korjaa ongelman parannetun muistinsiivouksen avulla. Kiitos Radwaren Itzik Kotlerille ja Jonathan Romille tästä ongelmasta ilmoittamisesta.
-
WebKit
CVE-ID: CVE-2008-1025
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen URL-osoitteen avaaminen saattaa aiheuttaa sivustojenvälisen komentosarjahyökkäyksen.
Kuvaus: WebKitissä on ongelma sellaisten URL-osoitteiden käsittelyssä, joiden palvelinnimessä on kaksoispiste. Haitallisen URL-osoitteen avaaminen saattaa aiheuttaa sivustojenvälisen komentosarjahyökkäyksen. Tämä päivitys korjaa ongelman entistä paremmalla URL-osoitteiden käsittelyllä. Kiitos Google Security Teamin Robert Swieckille ja David Bloomille tästä ongelmasta ilmoittamisesta.
-
WebKit
CVE-ID: CVE-2008-1026
Käytettävissä: iPhone v1.0 - v1.1.4, iPod touch v1.1 - v1.1.4
Vaikutus: Haitallisen verkkosivuston selaaminen voi johtaa sovelluksen odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suoritukseen.
Kuvaus: WebKitissä on laaja puskurin ylivuoto-ongelma JavaScriptin normaalilausekkeiden käsittelyssä. Ongelman saattaa laukaista se, että käsitellään JavaScriptin tavallisia lausekkeita, joissa on paljon sisäkkäisiä, toistuvia summia. Tämä voi johtaa yllättävään ohjelman sulkeutumiseen tai mielivaltaisen koodin suorittamiseen. Tämä päivitys korjaa ongelman suorittamalla ylimääräisen JavaScriptin säännöllisten lausekkeiden tarkistuksen. Kiitos Independent Security Evaluatorsin Charlie Millerille tästä ongelmasta ilmoittamisesta.
Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.