Сведения о функциях безопасности устройств iPhone 2.0 и iPod touch 2.0

  • Дата изменения: 18 Июль, 2008
  • Статья: HT2351

Обзор

Этот документ содержит сведения о функциях безопасности устройств iPhone 2.0 и iPod touch 2.0

В целях защиты своих пользователей компания Apple не разглашает и не подтверждает информацию о проблемах безопасности, а также не участвует в ее обсуждении, до тех пор пока не будет полностью завершено изучение проблемы и не будут выпущены все необходимые обновления и выпуски. Дополнительную информацию об обеспечении безопасности продуктов Apple см. на веб-странице «Безопасность продуктов Apple».

Дополнительную информацию об обеспечении безопасности продуктов Apple с помощью ключа PGP см. в статье «Использование PGP-ключа для защиты продуктов Apple».

Там, где это возможно, для ссылки на дополнительную информацию об уязвимостях используются идентификаторы CVE.

Дополнительную информацию о других обновлениях системы безопасности см. в статье Apple Security Updates («Обновления системы безопасности Apple»).

Продукты, у которых возникает эта проблема

Безопасность продукта

iPhone 2.0 и iPod touch 2.0

  • Сеть CFNetwork

    Идентификатор CVE: CVE-2008-0050

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Вредоносный прокси-сервер может подделывать безопасные веб-сайты

    Описание. Вредоносный прокси-сервер HTTPS может возвращать произвольные данные сети CFNetwork в виде ошибки «502 неверный шлюз», в результате чего возможна подделка безопасного веб-сайта. Это обновление устраняет проблему, не возвращая данные прокси-сервера о состоянии ошибки.

  • Ядро

    Идентификатор CVE: CVE-2008-0177

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Удаленный злоумышленник может вызвать непредвиденный сброс устройства

    Описание. При обработке пакетов с заголовком IPComp не распознается состояние отказа. Отправка вредоносного пакета в систему, настроенную на использование протокола IPSec или IPv6, может привести к неожиданному сбросу устройства. Это обновление устраняет описанную проблему посредством надлежащего распознавания состояния отказа.

  • Safari

    Идентификатор CVE: CVE-2008-1588

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Идеографические пробелы кодировки Unicode могут быть использованы для подделки веб-сайта

    Описание. При отображении в соответствующей строке браузера Safari текущего URL-адреса происходит обработка идеографических пробелов кодировки Unicode. Это позволяет вредоносному веб-сайту направлять пользователя на вредоносные сайты, которые внешне выглядят как безопасные домены. Это обновление устраняет проблему, отключая обработку идеографических пробелов кодировки Unicode в адресной строке.

  • Safari

    Идентификатор CVE: CVE-2008-1589

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Посещение вредоносного веб-сайта может привести к разглашению конфиденциальных сведений

    Описание. При использовании браузера Safari для доступа к веб-сайту, использующему самоподписанный или недействительный сертификат, выводится запрос на его прием или отклонение. Если при выводе запроса пользователь нажимает кнопку меню, при следующем посещении сайта сертификат принимается без запроса. Это может привести к раскрытию конфиденциальных сведений. Это обновление устраняет проблему, улучшая обработку сертификатов. Благодарим Хиромицу Такаги за сообщение об этой проблеме.

  • Safari

    Идентификатор CVE: CVE-2008-2303

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Воздействие. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода

    Описание. Проблема распознавания подписей в обработке браузером Safari индексов массива JavaScript может привести к получению доступа к закрытым областям памяти. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Это обновление устраняет проблему, добавляя дополнительную проверку индексов массива JavaScript. Благодарим SkyLined из компании Google за сообщение об этой проблеме.

  • Safari

    Идентификатор CVE: CVE-2006-2783

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Посещение вредоносного веб-сайта может привести к выполнению межузловых сценариев

    Описание. Браузер Safari игнорирует последовательности меток порядка байтов Unicode при анализе веб-страниц. Некоторые веб-сайты и фильтры веб-содержимого пытаются очищать входные данные, блокируя определенные теги HTML. Фильтрацию такого типа можно обойти, кроме того, она может привести к выполнению межузловых сценариев при получении вредоносных тегов HTML, содержащих последовательности меток порядка байтов. Это обновление устраняет проблему, улучшая обработку последовательностей меток порядка байтов. Благодарим Криса Уэбера из компании Casaba Security, LLC за сообщение об этой проблеме.

  • Safari

    Идентификатор CVE: CVE-2008-2307

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Воздействие. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода

    Описание. В способе обработки компонентом Webkit массивов JavaScript существует уязвимость, приводящая к повреждению памяти. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Это обновление устраняет описанную проблему, улучшая способ проверки границ. Благодарим Джеймса Уркварта за сообщение об этой проблеме.

  • Safari

    Идентификатор CVE: CVE-2008-2317

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Воздействие. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода

    Описание. В способе обработки программой WebCore элементов таблицы стилей существует уязвимость, которая может привести к повреждению памяти. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Это обновление устраняет проблему, улучшая сборку мусора. Благодарим Питера Врегденхила, сотрудничающего с компанией TippingPoint в рамках программы Zero Day Initiative, за сообщение об этой проблеме.

  • Safari

    Идентификатор CVE: CVE-2007-6284

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Обработка документа в формате XML может привести к отказу в обслуживании

    Описание. В обработке документов в формате XML, содержащих недействительные последовательности UTF-8, существует проблема потребления памяти, которая может привести к отказу в обслуживании. Это обновление устраняет проблему, обновляя системную библиотеку libxml2 до версии 2.6.16.

  • Safari

    Идентификатор CVE: CVE-2008-1767

    Назначение. iPhone версий 1.1—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Обработка документа в формате XML может привести к неожиданному завершению работы приложения или выполнению произвольного кода

    Описание. В библиотеке libxslt существует уязвимость, которая может привести к повреждению памяти. Просмотр вредоносной страницы HTML может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Дополнительные сведения об исправлении см. на веб-сайте http://xmlsoft.org/XSLT/ Благодарим Антонио де Альмейду Лопеса из компании Outpost24 AB и Криса Эванза из отдела безопасности компании Google за сообщение об этой проблеме.

  • WebKit

    Идентификатор CVE: CVE-2008-1590

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Воздействие. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода

    Описание. В способе обработки программой JavaScriptCore сборки мусора среды выполнения существует уязвимость, которая может привести к повреждению памяти. Посещение вредоносного веб-сайта может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Это обновление устраняет проблему, улучшая сборку мусора. Благодарим Ицика Котлера и Джонатана Рома из компании Radware за сообщение об этой проблеме.

  • WebKit

    Идентификатор CVE: CVE-2008-1025

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Уязвимость. Открытие вредоносного URL-адреса может привести к выполнению межузловых сценариев

    Описание. В способе обработки средой WebKit URL-адресов, содержащих символ двоеточия в имени хоста, существует уязвимость. Открытие вредоносного URL-адреса может привести к атаке с использованием межузловых сценариев. Это обновление решает проблему, исправляя способ обработки URL-адресов. Благодарим Роберта Свецки из отдела безопасности компании Google и Дейвида Блума за сообщение об этой проблеме.

  • WebKit

    Идентификатор CVE: CVE-2008-1026

    Назначение. iPhone версий 1.0—1.1.4, iPod touch версий 1.1—1.1.4

    Воздействие. Просмотр вредоносной веб-страницы может привести к неожиданному завершению работы программы или выполнению произвольного кода

    Описание. При обработке регулярных выражений JavaScript в среде WebKit происходит переполнение буфера кучи. Проблему может вызывать JavaScript при обработке регулярных выражений с большим числом вложенных повторений. Это может привести к неожиданному завершению работы приложения или выполнению произвольного кода. Это обновление устраняет проблему, выполняя дополнительную проверку регулярных выражений JavaScript. Благодарим Чарли Миллера из компании Independent Security Evaluators за сообщение об этой проблеме.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.