Acerca do conteúdo de segurança do iPhone v2.0 e iPod touch v2.0
Resumo
Este documento descreve o conteúdo de segurança do iPhone v2.0 e iPod touch v2.0.
Para protecção dos nossos clientes, a Apple não divulga, discute ou confirma questões de segurança até ter sido efectuada uma investigação completa e estarem disponíveis quaisquer patches ou versões necessárias. Para obter mais informações sobre a segurança dos produtos Apple, consulte o website Segurança dos produtos Apple.
Para obter informações sobre a chave PGP de segurança dos produtos Apple, consulte "Como utilizar a chave PGP de segurança dos produtos Apple."
Sempre que possível, são utilizadas ID CVE para referenciar as vulnerabilidades e dar mais informações.
Para obter mais informações sobre outras actualizações de segurança, consulte "Actualizações de segurança Apple."
Produtos afectados
Segurança de produtos
iPhone v2.0 e iPod touch v2.0
-
CFNetwork
ID CVE: CVE-2008-0050
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Um servidor proxy malicioso pode falsificar sítios da Web seguros
Descrição: Um servidor HTTPS malicioso pode devolver dados arbitrários ao CFNetwork num erro de gateway inválido 502, o que poderá permitir a falsificação de um sítio da Web seguro. Esta actualização resolve o problema, não devolvendo os dados fornecidos pelo proxy numa condição de erro.
-
Kernel
ID CVE: CVE-2008-0177
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Um atacante remoto poderá conseguir causar o reinício inesperado do dispositivo
Descrição: Existe uma condição de falha não detectada no processamento de pacotes com cabeçalho IPComp. O envio de um pacote concebido com intuito malicioso a um sistema configurado para utilizar IPSec ou IPv6 poderá causar o reinício inesperado do dispositivo. Esta actualização resolve o problema, detectando adequadamente a condição de falha.
-
Safari
ID CVE: CVE-2008-1588
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Podem ser utilizados espaços ideográficos Unicode para falsificar um sítio da Web
Descrição: Quando o Safari apresenta o URL actual na barra de endereços, os espaços ideográficos Unicode são apresentados. Isto permite que um sítio da Web concebido com intuito malicioso direccione o utilizador para um sítio falsificado visualmente semelhante a um domínio legítimo. Esta actualização resolve o problema, não apresentando espaços ideográficos Unicode na barra de endereços.
-
Safari
ID CVE: CVE-2008-1589
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode levar à divulgação de informações sensíveis
Descrição: Quando o Safari acede a um sítio da Web que utilize um certificado auto-assinado ou não válido, solicita ao utilizador que aceite ou rejeite o certificado. Se o utilizador premir o botão do menu durante o aviso, na próxima visita ao sítio, o certificado é aceite sem qualquer aviso. Esta situação poderá causar a divulgação de informações sensíveis. Esta actualização resolve o problema através do processamento melhorado de certificados. Os nossos agradecimentos a Hiromitsu Takagi por comunicar este problema.
-
Safari
ID CVE: CVE-2008-2303
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário.
Descrição: Um problema relacionado com assinatura no processamento de índices de matrizes de JavaScript pelo Safari pode resultar num acesso à memória fora dos limites. Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário. Esta actualização resolve o problema ao efectuar a validação adicional dos índices de matrizes de JavaScript. Os nossos agradecimentos a SkyLined do Google por comunicar este problema.
-
Safari
ID CVE: CVE-2006-2783
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode levar a ataques por scripts entre sítios
Descrição: O Safari ignora sequências de marcas de ordem de bytes Unicode ao analisar páginas da Web. Alguns sítios da Web e filtros de conteúdo da Web tentam corrigir a entrada de dados bloqueando identificadores HTML específicos. Esta abordagem à filtragem pode ser ultrapassada e levar a ataques por scripts entre sítios ao encontrar identificadores HTML concebidos com intuito malicioso que contenham sequências de marcas de ordem de bytes. Esta actualização resolve o problema através do processamento melhorado de sequências de marcas de ordem de bytes. Os nossos agradecimentos a Chris Weber da Casaba Security, LLC por comunicar este problema.
-
Safari
ID CVE: CVE-2008-2307
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário.
Descrição: Existe um problema de memória danificada no processamento de matrizes de JavaScript pelo WebKit. Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário. Esta actualização corrige este problema através da verificação de limites melhorada. Os nossos agradecimentos a James Urquhart por comunicar este problema.
-
Safari
ID CVE: CVE-2008-2317
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário.
Descrição: Existe um problema de memória danificada no processamento de folhas de estilo pelo WebCore. Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário. Esta actualização resolve o problema através de uma recolha de lixo melhorada. Os nossos agradecimentos a Peter Vreudegnhil da TippingPoint Zero Day Initiative por comunicar este problema.
-
Safari
ID CVE: CVE-2007-6284
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: O processamento de um documento XML pode originar um ataque por negação de serviço
Descrição: Existe um problema de consumo de memória no processamento de documentos XML que contenham sequências UTF-8 não válidas, o que poderá originar um ataque por negação de serviço. Esta actualização resolve o problema actualizando a biblioteca de sistema libxml2 para a versão 2.6.16.
-
Safari
ID CVE: CVE-2008-1767
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: O processamento de um documento XML pode originar o encerramento inesperado da aplicação ou a execução de código arbitrário
Descrição: Existe um problema de memória danificada na biblioteca libxslt. A visualização de uma página HTML concebida com intuito malicioso pode originar o encerramento inesperado da aplicação ou a execução de código arbitrário. Estão disponíveis informações adicionais sobre a correcção no sítio da Web xmlsoft.org http://xmlsoft.org/XSLT/. Os nossos agradecimentos a Anthony de Almeida Lopes da Outpost24 AB e a Chris Evans da Google Security Team por comunicarem este problema.
-
WebKit
ID CVE: CVE-2008-1590
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário.
Descrição: Existe um problema de memória danificada no processamento da recolha de lixo em tempo de execução pelo JavaScriptCore. Visitar um sítio da Web concebido com intuito malicioso pode causar o encerramento inesperado de aplicações ou a execução de código arbitrário. Esta actualização resolve o problema através de uma recolha de lixo melhorada. Os nossos agradecimentos a Itzik Kotler e Jonathan Rom da Radware por comunicarem este problema.
-
WebKit
ID CVE: CVE-2008-1025
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: O acesso a um URL concebido com intuito malicioso pode resultar num ataque por scripts entre sítios
Descrição: Existe um problema no processamento de URLs que incluam o carácter "dois pontos" no nome do servidor pelo WebKit. O acesso a um URL concebido com intuito malicioso pode originar um ataque por scripts entre sítios. Esta actualização resolve o problema através do processamento melhorado de URLs. Os nossos agradecimentos a Robert Swiecki da Google Security Team e a David Bloom por comunicarem este problema.
-
WebKit
ID CVE: CVE-2008-1026
Disponível para: iPhone v1.0 a v1.1.4, iPod touch v1.1 a v1.1.4
Impacto: Visualizar uma Web Page criada maliciosamente pode provocar o encerramento inesperado da aplicação ou a execução de código arbitrário.
Descrição: Existe uma sobrecarga de buffer heap na forma como o WebKit trata as expressões regulares do JavaScript. Este problema pode ser despoletado pelo JavaScript ao processar expressões regulares com contagens de repetições extensas e inseridas. Isto poderá causar o fim inesperado da aplicação ou a execução de código arbitrário. Esta actualização resolve o problema ao efectuar a validação adicional das expressões regulares de JavaScript. Os nossos agradecimentos a Charlie Miller da Independent Security Evaluators por comunicar este problema.
Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.