Om säkerhetsinnehållet i iPhone v2.0 och iPod touch v2.0

  • Senast ändrad: 22 juli, 2008
  • Artikel: HT2351

Översikt

I det här dokumentet beskrivs säkerhetsinnehållet i iPhone v2.0 och iPod touch v2.0.

Apple skyddar sina kunder genom att aldrig avslöja, diskutera eller bekräfta säkerhetsproblem innan en fullständig utredning har utförts och alla nödvändiga buggfix eller utgåvor är tillgängliga. Mer information om Apples produktsäkerhet finns på webbplatsen Apple Product Security.

Information om Apples PGP-nyckel för produktsäkerhet finns i "How to use the Apple Product Security PGP Key".

Om möjligt används CVE-ID:n som referenser till ytterligare information om sårbarheterna.

Mer information om andra säkerhetsuppdateringar finns på "Apple Security Updates".

Berörda produkter

Produktsäkerhet

iPhone v2.0 och iPod touch v2.0

  • CFNetwork

    CVE-ID: CVE-2008-0050

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: En skadlig proxyserver kan förfalska säkra webbsidor

    Beskrivning: En skadlig HTTPS-proxyserver kan returnera opålitliga data till CFNetwork i ett 502 Felaktig gateway-fel, vilket kan göra det möjligt att förfalska en säker webbsida. Denna uppdatering åtgärdar problemet genom att inte returnera data från proxyservern vid ett feltillstånd.

  • Kernel

    CVE-ID: CVE-2008-0177

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: En fjärrattack kan orsaka en oväntad enhetsåterställning

    Beskrivning: Ett oupptäckt feltillstånd förekommer i hantering av paket med IPComp-huvud. Att skicka uppsåtligt skapade paket till IPSec- eller IPv6-konfigurerade system kan orsaka en oväntad enhetsåterställning. Denna uppdatering åtgärdar problemet genom en korrekt detektering av feltillståndet.

  • Safari

    CVE-ID: CVE-2008-1588

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Ideografiska Unicode-blanksteg kan användas till att förfalska en webbplats

    Beskrivning: När Safari visar aktuell URL i adressfältet återges denna som ideografiska Unicode-blanksteg. Det gör det möjligt för en uppsåtligt skapad webbplats att styra användaren till en förfalskad webbplats som ser ut att vara en rättmätig domän. Denna uppdatering åtgärdar problemet genom att inte återge ideografiska Unicode-blanksteg i adressfältet.

  • Safari

    CVE-ID: CVE-2008-1589

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en uppsåtligt skapad webbplats kan leda till spridning av känslig information

    Beskrivning: När Safari öppnar en webbplats där ett självsignerat eller ogiltigt certifikat används, får användaren en uppmaning om att godkänna eller förkasta certifikatet. Om användaren klickar på menyknappen medan uppmaningen visas, och därefter besöker webbplatsen igen, godtas certifikatet utan att någon uppmaning visas. Detta kan leda till spridning av känslig information. Denna uppdatering åtgärdar problemet genom förbättrad hantering av certifikat. Tack till Hiromitsu Takagi som rapporterade problemet.

  • Safari

    CVE-ID: CVE-2008-2303

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Ett problem med signedness (variablers tecken/teckenfrihet) i Safaris hantering av JavaScript-matrisindex kan leda till minnesåtkomst utanför gränserna. Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod. Denna uppdatering åtgärdar problemet genom att utföra ytterligare verifiering av JavaScript-matrisindex. Tack till SkyLined på Google som rapporterade problemet.

  • Safari

    CVE-ID: CVE-2006-2783

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en webbplats med skadligt innehåll kan leda till cross-site scripting

    Beskrivning: Safari ignorerar sekvenser av Unicode-byteordningsmärken vid tolkning av webbsidor. Vissa webbplatser och webbinnehållsfilter kan försöka skydda sig mot skadliga indata genom att blockera specifika HTML-taggar. Denna typ av filtrering kan kringgås och leda till cross-site scripting när skadliga HTML-taggar påträffas som innehåller sekvenser av byteordningsmärken. Denna uppdatering åtgärdar problemet genom förbättrad hantering av sekvenser av byteordningsmärken. Tack till Chris Weber på Casaba Security LLC som rapporterade problemet.

  • Safari

    CVE-ID: CVE-2008-2307

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Det finns ett minneshanteringsfel i WebKits funktion för hantering av JavaScript-matriser. Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom att förbättra gränskontrollerna. Tack till James Urquhart som rapporterade problemet.

  • Safari

    CVE-ID: CVE-2008-2317

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Ett problem med minneskorruption förekommer i WebCores hantering av stilmallselement. Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad skräpinsamling. Tack till Peter Vreudegnhil som arbetar med TippingPoint Zero Day Initiative och som rapporterade det här problemet.

  • Safari

    CVE-ID: CVE-2007-6284

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Bearbetning av ett XML-dokument kan leda till överbelastning

    Beskrivning: Det finns ett problem med minnesförbrukning vid hantering av XML-dokument som innehåller ogiltiga UTF-8-sekvenser, vilket kan leda till överbelastning. Denna uppdatering åtgärdar problemet genom uppdatering av libxml2-systembiblioteket till version 2.6.16.

  • Safari

    CVE-ID: CVE-2008-1767

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Bearbetning av ett XML-dokument kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Ett problem med minneskorruption förekommer i libxslt-biblioteket. Visning av en uppsåtligt skapad HTML-sida kan leda till oväntad programavslutning eller exekvering av opålitlig kod. Ytterligare information om den applicerade korrigeringen finns på xmlsoft.org-webbplatsen http://xmlsoft.org/XSLT/ Tack till Anthony de Almeida Lopes på Outpost24 AB och Chris Evans på Google Security Team som rapporterade problemet.

  • WebKit

    CVE-ID: CVE-2008-1590

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod

    Beskrivning: Ett problem med minneskorruption förekommer i JavaScriptCores hantering av skräpinsamling vid programkörning. Besök på en uppsåtligt skapad webbplats kan leda till oväntad programavslutning eller körning av opålitlig kod. Den här uppdateringen åtgärdar problemet genom förbättrad skräpinsamling. Tack till Itzik Kotler och Jonathan Rom på Radware som rapporterade problemet.

  • WebKit

    CVE-ID: CVE-2008-1025

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Att besöka en URL med skadligt innehåll kan leda till cross-site scripting

    Beskrivning: WebKit har ett säkerhetsproblem vid hantering av URL:er som har ett kolon i värdnamnet. Ett cross-site scripting-angrepp kan utföras om du besöker en URL med skadligt innehåll. Denna uppdatering åtgärdar problemet genom förbättrad hantering av URL:er. Tack till Robert Swiecki på Google Security Team och till David Bloom som rapporterade det här problemet.

  • WebKit

    CVE-ID: CVE-2008-1026

    Tillgänglig för: iPhone v1.0 t.o.m. v1.1.4, iPod touch v1.1 t.o.m. v1.1.4

    Inverkan: Visning av en uppsåtligt skapad webbsida kan leda till oväntad programavslutning eller exekvering av opålitlig kod

    Beskrivning: Det finns ett problem med heap-buffertspill i WebKits funktion för hantering av reguljära JavaScript-uttryck. Problemet kan utlösas via JavaScript vid bearbetning av reguljära uttryck som innehåller kapslade uttryck för ett stort antal upprepningar. Det kan leda till oväntad programavslutning eller exekvering av opålitlig kod. Denna uppdatering åtgärdar problemet genom att utföra ytterligare verifiering av reguljära JavaScript-uttryck. Tack till Charlie Miller på Independent Security Evaluators som rapporterade problemet.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.