Informazioni sull'aggiornamento di sicurezza di iPod touch v2.1
Riepilogo
Questo documento descrive l'aggiornamento di sicurezza di iPod touch v2.1.
Per proteggere i propri clienti, Apple non divulga, discute o conferma alcun problema relativo alla sicurezza finché non è stata eseguita un'indagine approfondita e non sono disponibili le necessarie correzioni o aggiornamenti della versione. Per ulteriori informazioni sulla sicurezza dei prodotti Apple, accedi al sito web Aggiornamenti di sicurezza Apple.
Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple, vedi "How to use the Apple Product Security PGP Key" (Come utilizzare la chiave PGP per la sicurezza dei prodotti Apple).
Ove possibile, vengono usati gli ID CVE per ulteriori informazioni relative alle vulnerabilità.
Per conoscere gli altri aggiornamenti relativi alla sicurezza, vedi "Aggiornamenti di sicurezza Apple".
Prodotti interessati
Sicurezza dei prodotti, iPod touch
iPod touch v2.1
-
Sandbox applicazione
CVE-ID: CVE-2008-3631
Disponibile per: iPod touch da v2.0 a v2.0.2
Impatto: un'applicazione potrebbe essere in grado di leggere i file di un'altra applicazione
Descrizione: la sandbox dell'applicazione non applica in modo appropriato le limitazioni di accesso tra applicazioni di terze parti. Ciò potrebbe consentire a un'applicazione di terze parti di leggere i file nella sandbox di un'altra applicazione di terze parti e causare la divulgazione di informazioni riservate. Questo aggiornamento risolve il problema applicando le appropriate limitazioni di accesso tra le sandbox delle applicazioni. Ringraziamo Nicolas Seriot di Sen:te e Bryce Cogswell per aver segnalato il problema. Il problema non riguarda le versioni di iPod touch precedenti alla v2.0.
-
CoreGraphics
CVE-ID: CVE-2008-1806, CVE-2008-1807, CVE-2008-1808
Disponibile per: iPod touch da v1.1 a v2.0.2
Impatto: vulnerabilità multiple in FreeType v2.3.5
Descrizione: esistono più vulnerabilità in FreeType v2.3.5, le più gravi delle quali potrebbero comportare l'esecuzione di codice arbitrario all'accesso di dati sui font realizzati a scopo malevolo. Questo aggiornamento risolve il problema incorporando le correzioni di sicurezza della versione 2.3.6 di FreeType. Ulteriori informazioni sono disponibili sul sito web di FreeType all'indirizzo http://www.freetype.org/
-
mDNSResponder
CVE-ID: CVE-2008-1447
Disponibile per: iPod touch da v1.1 a v2.0.2
Impatto: mDNSResponder è suscettibile all'inquinamento della cache DNS e potrebbe restituire informazioni contraffatte
Descrizione: mDNSResponder fornisce una traduzione tra i nomi host e gli indirizzi IP per le applicazioni che utilizzano la sua API unicast di risoluzione DNS. Un difetto di progettazione del protocollo DNS potrebbe consentire a un malintenzionato collegato in remoto di attaccare e inquinare la cache DNS. Di conseguenza, le applicazioni che si affidano a mDNSResponder per il DNS potrebbero ricevere informazioni contraffatte. Questo aggiornamento affronta il problema implementando la randomizzazione della porta di origine e dell'ID di transazione per migliorare la capacità di recupero in caso di attacchi che inquinano la cache. Ringraziamo Dan Kaminsky di IOActive per aver riferito questo problema.
-
Networking
CVE-ID: CVE-2008-3612
Disponibile per: iPod touch da v2.0 a v2.0.2
Impatto: la prevedibilità dei numeri di sequenza TCP iniziali potrebbe comportare la modifica del flusso TCP o il controllo della sessione
Descrizione: i numeri di sequenza TCP iniziali vengono generati in sequenza. La prevedibilità dei numeri di sequenza TCP iniziali potrebbero consentire a un malintenzionato collegato in remoto di creare una connessione TCP fasulla o di inserire dati in una connessione TCP esistente. Questo aggiornamento risolve il problema generando in modo casuale i numeri di sequenza TCP iniziali. Il problema non riguarda le versioni di iPod touch precedenti alla v2.0.
-
WebKit
CVE-ID: CVE-2008-3632
Disponibile per: iPod touch da v1.1 a v2.0.2
Impatto: visitando un sito Web pericoloso si potrebbe incorrere nella chiusura imprevista delle applicazioni o nell'esecuzione di codice arbitrario
Descrizione: si verifica un problema di tipo use-after-free nella gestione da parte di WebKit delle istruzioni CSS import. Visitando un sito Web pericoloso si potrebbe causare la chiusura imprevista delle applicazioni o l'esecuzione di codice arbitrario. Questo aggiornamento risolve il problema grazie a una migliore gestione dei riferimenti dei documenti.
Informazioni aggiuntive
Importante: le informazioni su prodotti non fabbricati da Apple vengono fornite solo a scopo informativo e non costituiscono raccomandazioni o approvazioni da parte di Apple. Per ulteriori informazioni, contatta il rivenditore.