Om sikkerhetsinnholdet i iPhone v2.1

  • Sist endret: 25 september, 2008
  • Artikkel: HT3129

Oppsummering

Dette dokumentet beskriver sikkerhetsinnholdet i iPhone v2.1.

Av hensyn til kundenes sikkerhet er det Apples praksis å ikke videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige programoppgraderinger eller -versjoner er tilgjengelige. Du finner mer informasjon om Apples produktsikkerhet på webstedet Apples produktsikkerhet.

Du finner mer informasjon om PGP-nøkkelen for Apples produktsikkerhet under "Slik bruker du PGP-nøkkelen for Apples produktsikkerhet."

Der det er mulig brukes CVE-IDer som referanse til sårbarheter for ytterligere informasjon.

Du finner mer informasjon om andre sikkerhetsoppdateringer i "Apples sikkerhetsoppdateringer."

 

Berørte produkter

iPhone, Produktsikkerhet

iPhone v2.1

  • Application Sandbox

    CVE-ID: CVE-2008-3631

    Tilgjengelig for: iPhone v2.0 til og med v2.0.2

    Virkning: Et program kan bli i stand til å lese filene til et annet program

    Beskrivelse: Application Sandbox fremtvinger ikke tilgangsrestriksjoner ordentlig mellom programmer fra tredjepart. Dette kan tillate at et program fra tredjepart leser filer i sandkassen til et annet program fra tredjepart, og føre til fremlegging av sensitiv informasjon. Denne oppdateringen løser problemet ved å fremtvinge tilstrekkelige tilgangsrestriksjoner mellom program sandkasser. Takk til Nicolas Seriot fra Sen:te and Bryce Cogswell for rapportering av dette problemet. Dette problemet påvirker ikke iPhone-versjoner tidligere enn v2.0.

  • CoreGraphics

    CVE-ID: CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

    Tilgjengelig for: iPhone v1.0 til og med v2.0.2

    Virkning: Flere sårbarheter i FreeType v2.3.5

    Beskrivelse: Det er flere sårbarheter i FreeType v2.3.5, og de mest alvorlige kan føre til utføring av vilkårlig kode ved tilgang til ondsinnede fontdata. Denne oppdateringen løser problemet ved å inkludere sikkerhetsoppdateringene fra versjon 2.3.6 av FreeType. Ytterligere informasjon er tilgjengelig via FreeType-webstedet http://www.freetype.org/

  • mDNSResponder

    CVE-ID: CVE-2008-1447

    Tilgjengelig for: iPhone v1.0 til og med v2.0.2

    Virkning: mDNSResponder er mottakelig for DNS-bufferinfisering og kan returnere falsk informasjon.

    Beskrivelse: mDNSResponder sørger for oversetting mellom vertsnavn og IP-adresser for programmer som bruker dens unicast-grensesnitt for DNS-løsing. En svakhet i DNS-protokollen kan åpne for eksterne angrep på DNS-buffer. Dette kan føre til at systemer som er avhengig av mDNSResponder for DNS mottar falsk informasjon. Denne oppdateringen løser problemet ved å implementere vilkårlig bruk av kildeport og transaksjons-ID for å forbedre evnen til å motstå bufferinfisering. Takk til Dan Kaminsky i IOActive for rapportering av problemet.

  • Nettverk

    CVE-ID: CVE-2008-3612

    Tilgjengelig for: iPhone v2.0 til og med v2.0.2

    Virkning: Forutsigbar generering av initielle TCP-sekvensnumre kan føre til TCP-forfalskning eller overtakelse av økt

    Beskrivelse: TCP initielle sekvensnumre genereres sekvensielt. Forutsigbare initielle sekvensnumre kan tillate at en ekstern angriper oppretter en falsk TCP-tilkobling eller setter inn data i en eksisterende TCP-tilkobling. Denne oppdateringen løser problemet ved å generere tilfeldige initielle TCP-sekvensnumre. Dette problemet påvirker ikke iPhone-versjoner tidligere enn v2.0.

  • Kodelås

    CVE-ID: CVE-2008-3633

    Tilgjengelig for: iPhone v2.0 til og med v2.0.2

    Virkning: En uautorisert bruker kan gå forbi Kodelås og starte iPhone-programmer

    Beskrivelse: Kodelåsfunksjonen er laget for å hindre at programmer startes hvis ikke riktig passcode blir angitt. Et implementeringsproblem i håndteringen av nødsamtaler tillater at brukere med fysisk tilgang til en iPhone, kan starte et program uten kodelås ved å dobbeltklikke på Hjem-knappen i en nødsamtale. Denne oppdateringen løser problemet med forbedret håndtering av nødsamtaler. Takk til Matthew Yohe fra The University of Iowa's Department of Electrical and Computer Engineering for rapportering av dette problemet. Dette problemet påvirker ikke iPhone-versjoner tidligere enn v2.0.

  • WebKit

    CVE-ID: CVE-2008-3632

    Tilgjengelig for: iPhone v1.0 til og med v2.0.2

    Virkning: Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres

    Beskrivelse: Det er et bruk-etter-frigivelse-problem i WebKits håndtering av CSS-importsetninger. Besøk på et skadelig websted kan føre til at et program avsluttes uventet eller at vilkårlig kode kjøres. Denne oppdateringen løser problemet med forbedret håndtering av dokumentreferanser.