De beveiligingsinhoud van iOS 5.0.1-software-update

In dit artikel wordt de beveiligingsinhoud van iOS 5.0.1 beschreven.

In dit document wordt de beveiligingsinhoud van iOS 5.0.1 beschreven die u kunt downloaden en installeren via iTunes.

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Bezoek de website Apple productbeveiliging voor meer informatie over Apple-productbeveiliging.

Raadpleeg ‘Hoe gebruikt u de Apple Product Security PGP-sleutel’ voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID’s als referentie voor kwetsbaarheden gebruikt voor verdere informatie.

Raadpleeg ‘Apple-beveiligingsupdates’ voor meer informatie over andere beveiligingsupdates.

iOS 5.0.1-software-update

• CFNetwork

  Beschikbaar voor: iOS 3.0 t/m 5.0 voor iPhone 3GS, iPhone 4 en iPhone 4s, iOS 3.1 t/m 5.0 voor iPod touch (3e generatie) en hoger, iOS 3.2 t/m 5.0 voor iPad, iOS 4.3 t/m 5.0 voor iPad 2

  Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het vrijgeven van vertrouwelijke informatie

  Beschrijving: er was een probleem bij de verwerking van kwaadwillig vervaardigde URL’s in CFNetwork. Bij de toegang tot een kwaadwillig vervaardigde HTTP- of HTTPS-URL kan CFNetwork navigeren naar een onjuiste server.

  CVE-ID

  CVE-2011-3246: Erling Ellingsen van Facebook

• CoreGraphics

  Beschikbaar voor: iOS 3.0 t/m 5.0 voor iPhone 3GS, iPhone 4 en iPhone 4s, iOS 3.1 t/m 5.0 voor iPod touch (3e generatie) en hoger, iOS 3.2 t/m 5.0 voor iPad, iOS 4.3 t/m 5.0 voor iPad 2

  Impact: het bekijken van een document met een kwaadwillig vervaardigd lettertype kan leiden tot het uitvoeren van willekeurige code

  Beschrijving: er waren meerdere problemen met geheugenbeschadiging in FreeType waarvan de ernstigste konden leiden tot het uitvoeren van willekeurige code bij de verwerking van een kwaadwillig vervaardigd lettertype.

  CVE-ID

  CVE-2011-3439: Apple

• Gegevensbeveiliging

  Beschikbaar voor: iOS 3.0 t/m 5.0 voor iPhone 3GS, iPhone 4 en iPhone 4s, iOS 3.1 t/m 5.0 voor iPod touch (3e generatie) en hoger, iOS 3.2 t/m 5.0 voor iPad, iOS 4.3 t/m 5.0 voor iPad 2

  Impact: een aanvaller met een geprivilegieerde netwerkpositie kan inloggegevens of andere vertrouwelijke informatie van gebruikers onderscheppen

  Beschrijving: twee certificaatautoriteiten in de lijst met vertrouwde rootcertificaten hebben afzonderlijk intermediaire certificaten uitgevaardigd aan DigiCert Malaysia. DigiCert Malaysia heeft certificaten met zwakke sleutels uitgevaardigd die het niet kan intrekken. Een aanvaller met een geprivilegieerde netwerkpositie kan gebruikersgegevens of andere vertrouwelijke informatie onderscheppen die bedoeld zijn voor een website met een door DigiCert Malaysia uitgevaardigd certificaat. Dit probleem wordt verholpen door de standaard vertrouwensinstellingen van het systeem zo te configureren dat certificaten van DigiCert Malaysia niet worden vertrouwd. Met dank aan Bruce Morton van Entrust, Inc. voor het melden van dit probleem.

• Kernel

  Beschikbaar voor: iOS 3.0 t/m 5.0 voor iPhone 3GS, iPhone 4 en iPhone 4s, iOS 3.1 t/m 5.0 voor iPod touch (3e generatie) en hoger, iOS 3.2 t/m 5.0 voor iPad, iOS 4.3 t/m 5.0 voor iPad 2

  Impact: een programma kan niet-ondertekende code uitvoeren

  Beschrijving: er was een logische fout bij de controle van geldige markeringscombinaties in de mmap-systeemaanroep. Dit probleem kan leiden tot het omzeilen van controles op het ondertekenen van code. Dit probleem is niet van invloed op apparaten met een iOS-versie die ouder is dan 4.3.

  CVE-ID

  CVE-2011-3442: Charlie Miller van Accuvant Labs

• libinfo

  Beschikbaar voor: iOS 3.0 t/m 5.0 voor iPhone 3GS, iPhone 4 en iPhone 4s, iOS 3.1 t/m 5.0 voor iPod touch (3e generatie) en hoger, iOS 3.2 t/m 5.0 voor iPad, iOS 4.3 t/m 5.0 voor iPad 2

  Impact: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het vrijgeven van vertrouwelijke informatie

  Beschrijving: er was een probleem bij het opzoeken van DNS-namen in libinfo. Bij het oplossen van een kwaadwillig vervaardigde hostnaam kan libinfo een onjuist resultaat leveren.

  CVE-ID

  CVE-2011-3441: Erling Ellingsen van Facebook, Per Johansson van Blocket AB

• Codeslot

  Beschikbaar voor: iOS 4.3 t/m 5.0 voor iPad 2

  Impact: een persoon met fysieke toegang tot een vergrendelde iPad2 heeft wellicht toegang tot bepaalde gebruikersgegevens

  Beschrijving: wanneer een Smart Cover wordt geopend terwijl de iPad 2 de uitschakeling bevestigt in de vergrendelde status, vraagt de iPad geen toegangscode. Hierdoor blijven bepaalde gegevens op de iPad toegankelijk maar niet de gegevens die worden beschermd door Gegevensbeveiliging, en apps kunnen niet worden gestart.

  CVE-ID

  CVE-2011-3440