Tietoja iTunes 10.5.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iTunes 10.5.1:n turvallisuussisällöstä.

Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

iTunes 10.5.1

iTunes

Saatavuus: Mac OS X v10.5 tai uudempi, Windows 7, Vista, XP SP2 tai uudempi

Vaikutus: välimieshyökkääjä saattoi tarjota ohjelmistoa, joka vaikutti olevan peräisin Applelta.

Kuvaus: iTunes tarkistaa ajoittaan ohjelmistopäivitykset käyttäen HTTP-pyyntöä Applelle. Tämä pyyntö saattaa saada iTunesin ilmoittamaan, että päivitys on saatavilla. Jos Apple Software Update Windowsille ei ollut asennettuna, Lataa iTunes -painikkeen klikkaaminen saattoi avata URL-osoitteen käyttäjän oletusselaimen HTTP-vastauksesta. Tätä ongelmaa on lievennetty käyttämällä turvallista yhteyttä, kun saatavilla olevia päivityksiä tarkistetaan. OS X -järjestelmissä käyttäjän oletusselainta ei käytetä, koska Apple Software Update sisältyy OS X:ään, mutta tämän muutoksen myötä lisätään toinen defense-in-depth.

CVE-ID

CVE-2008-3434 : Francisco Amato, Infobyte Security Research