Om sikkerhetsinnholdet for iPhone v2.0 og iPod touch v2.0

  • Sist endret: 18 juli, 2008
  • Artikkel: HT2351

Oppsummering

Dette dokumentet beskriver sikkerhetsinnholdet for iPhone v2.0 og iPod touch v2.0.

Av hensyn til kundenes sikkerhet er det Apples praksis å ikke videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige programoppgraderinger eller -versjoner er tilgjengelige. Du finner mer informasjon om Apples produktsikkerhet på webstedet Apples produktsikkerhet.

Du finner mer informasjon om PGP-nøkkelen for Apples produktsikkerhet under "Slik bruker du PGP-nøkkelen for Apples produktsikkerhet."

Der det er mulig brukes CVE-IDer som referanse til sårbarheter for ytterligere informasjon.

Du finner mer informasjon om andre sikkerhetsoppdateringer i "Apples sikkerhetsoppdateringer."

Berørte produkter

Produktsikkerhet

iPhone v2.0 og iPod touch v2.0

  • CFNetwork

    CVE-ID: CVE-2008-0050

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: En skadelig proxy-tjener kan svindle sikre websteder

    Beskrivelse: En skadelig HTTPS proxy-tjener kan returnere vilkårlige data til CFNetwork i en 502 Bad Gateway-feil, som kan tillate at et sikkert websted svindles. Denne oppdateringen løser problemet ved å ikke returnere de proxy-leverte dataene ved en feilstand.

  • Kjerne

    CVE-ID: CVE-2008-0177

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: En ekstern angriper kan kan være i stand til å forårsake en uventet nullstilling av systemet.

    Beskrivelse: Det foreligger en uoppdaget brist i håndteringen av pakker med et IPComp-meldingshode. Sending av en skadelig pakke til et system som er konfigurert til å bruke IPSec eller IPv6, kan forårsake uventet nullstilling av systemet. Denne oppdateringen løser problemet ved å oppdage feiltilstanden.

  • Safari

    CVE-ID: CVE-2008-1588

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Ideografiske Unicode-mellomrom kan brukes til å svindle et websted

    Beskrivelse: Når Safari bruker gjeldende URL i adressefeltet, gjengis ideografiske Unicode-mellomrom. Dette tillater at et skadelig websted kan dirigere brukeren til et svindelområde som rent visuelt virker å være et legitimt domene. Denne oppdateringen løser problemet ved ikke å gjengi idografiske Unicode-mellomrom i adressefeltet.

  • Safari

    CVE-ID: CVE-2008-1589

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til avdekking av sensitiv informasjon

    Beskrivelse: Når Safari åpner et websted som bruker et selvsignert eller ugyldig sertifikat, blir brukeren bedt om å godta eller avvise sertifikatet. Hvis brukeren trykker menyknappen ved denne meldingen, vil sertifikatet bli akseptert uten melding neste gang området besøkes. Dette kan føre til avdekking av sensitiv informasjon. Denne oppdateringen løser problemet ved forbedret håndtering av sertifikater. Takk til Hiromitsu Takagi for rapportering av dette problemet.

  • Safari

    CVE-ID: CVE-2008-2303

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Et signeringsproblem i Safaris håndtering av JavaScript-arrayindekser kan resultere i "utenfor område"-minnetilgang. Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet ved å utføre ytterligere kontroll og godkjenning av arrayindekser i JavaScript. Takk til SkyLined i Google for rapportering av dette problemet.

  • Safari

    CVE-ID: CVE-2006-2783

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til at skripting på tvers av websteder

    Beskrivelse: Safari ignorerer Unicode-merkesekvenser for byterekkefølge ved analyse av websider. Enkelte websteder og webinnholdsfiltre forsøker å sanitere inndata ved å blokkere visse HTML-koder. Denne tilnærmingen til filtrering kan hoppes over og føre til skripting på tvers av websteder når det oppdages skadelige HTML-koder som inneholder merkesekvenser for byterekkefølge. Denne oppdateringen løser problemet gjennom forbedret håndtering av merkesekvenser for byterekkefølge. Takk til Chris Weber fra Casaba Security, LLC for rapportering av dette problemet.

  • Safari

    CVE-ID: CVE-2008-2307

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Det er et problem med ødelagt minne i WebKits håndtering av JavaScript-arrayer. Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet ved forbedret grensekontroll. Takk til James Urquhart for rapportering av dette problemet.

  • Safari

    CVE-ID: CVE-2008-2317

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Det er et problem med ødelagt minne i WebCores håndtering av stilarkelementer. Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet ved forbedret søppelinnsamling. Takk til Peter Vreudegnhil, som arbeider ved TippingPoint Zero Day Initiative, for rapportering av dette problemet.

  • Safari

    CVE-ID: CVE-2007-6284

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Behandling av et XML-dokument kan føre til nekting av tjeneste

    Beskrivelse: Det er et problem med minneforbruk i håndteringen av XML-dokumenter som inneholder ugyldige UTF-8-sekvenser, som kan føre til nekting av tjeneste. Denne oppdateringen løser problemet ved å oppdatere libxml2-systembiblioteket til versjon 2.6.16.

  • Safari

    CVE-ID: CVE-2008-1767

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Behandling av et XML-dokument kan føre til at et program avsluttes uventet eller at vilkårlig kode utføres

    Beskrivelse: Det er et problem med ødelagt minne i libxslt-biblioteket. Virkning: Visning av en skadelig HTML-side kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode. Ytterligere informasjon om rettelsen er tilgjengelig via webstedet xmlsoft.org http://xmlsoft.org/XSLT/ Takk til Anthony de Almeida Lopes fra Outpost24 AB og Chris Evans fra Google Security Team for rapportering av dette problemet.

  • WebKit

    CVE-ID: CVE-2008-1590

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Det er et problem med ødelagt minne i JavaScriptCores håndtering av kjøretidssøppelinnsamling. Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet ved forbedret søppelinnsamling. Takk til Itzik Kotler og Jonathan Rom fra Radware for rapportering av dette problemet.

  • WebKit

    CVE-ID: CVE-2008-1025

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Åpning av en skadelig URL-adresse kan føre til skripting på tvers av websteder

    Beskrivelse: Det er et problem med WebKits håndtering av URL-adresser som inneholder et kolon-tegn i vertsnavnet. Åpning av en skadelig URL-adresse kan føre til angrep med skripting på tvers av websteder. Denne oppdateringen løser problemet ved forbedret håndtering av URL-adresser. Takk til Robert Swiecki fra Google Security Team og David Bloom for rapportering av dette problemet.

  • WebKit

    CVE-ID: CVE-2008-1026

    Tilgjengelig for: iPhone v1.0 til og med v1.1.4, iPod touch v1.1 til og med v1.1.4

    Virkning: Visning av en skadelig webside kan føre til uventet avslutning av et program eller kjøring av vilkårlig kode

    Beskrivelse: Det er en heap-bufferoverflyt i WebKits håndtering av regulære uttrykk i JavaScript. Problemet kan utløses via JavaScript under behandling av regulære uttrykk med store, nestede repetisjonsantall. Dette kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet ved å utføre ytterligere kontroll og godkjenning av regulære uttrykk i JavaScript. Takk til Charlie Miller fra Independent Security Evaluators for rapportering av dette problemet.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.