Langues

À propos des correctifs de sécurité d’iOS 7

Ce document décrit les correctifs de sécurité d’iOS 7.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas disponibles. Pour obtenir des informations supplémentaires sur la sécurité produit d’Apple, consultez le site Web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations supplémentaires sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité Apple.

iOS 7

  • Politique de fiabilité des certificats

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : des certificats racines ont été mis à jour.

    Description : plusieurs certificats ont été ajoutés à la liste des racines système ou retirés de celle-ci.

  • CoreGraphics

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code.

    Description : un dépassement de la mémoire tampon se produisait au niveau de la gestion des données chiffrées JBIG2 dans les fichiers PDF. Ce problème a été résolu par une vérification supplémentaire des limites.

    Référence CVE

    CVE-2013-1025 : Felix Groebert de l’équipe de sécurité de Google

  • CoreMedia

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la lecture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

    Description : un dépassement de la mémoire tampon se produisait lors du traitement des fichiers vidéo encodés au format Sorenson. Ce problème a été résolu par une meilleure vérification des limites.

    Référence CVE

    CVE-2013-1019 : Tom Gallagher (Microsoft) et Paul Bates (Microsoft) en collaboration avec le programme Zero Day Initiative d’HP

  • Protection des données

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : les applications pouvaient contourner les restrictions au niveau des tentatives de code.

    Description : il existait un problème de séparation des privilèges au niveau de la protection des données. Une application au sein de la sandbox tierce pouvait tenter à plusieurs reprises d’identifier le code de l’utilisateur, quel que soit le réglage « Effacer les données » défini par l’utilisateur. Ce problème a été résolu par la mise en place de vérifications supplémentaires au niveau des droits.

    Référence CVE

    CVE-2013-0957 : Jin Han de l’Institut de recherche Infocomm en collaboration avec Qiang Yan et Su Mon Kywe de l’Université de gestion de Singapour

  • Sécurité des données

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau pouvait intercepter les informations d’identification de l’utilisateur ou d’autres données sensibles.

    Description : TrustWave, une autorité de certification racine de confiance, a émis, puis révoqué un certificat d’une sous-autorité de certification à partir de l’un de ses repères de confiance. Cette sous-autorité de certification a facilité l’interception de communications sécurisées par le protocole TLS (Transport Layer Security). Cette mise à jour a permis d’ajouter le certificat de la sous-autorité de certification concerné à la liste des certificats non sécurisés d’OS X.

    Référence CVE

    CVE-2013-5134

  • dyld

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant capable de provoquer une exécution arbitraire de code sur un appareil était en mesure de forcer l’exécution d’un code lors des redémarrages.

    Description : plusieurs problèmes de dépassement de la mémoire tampon existaient dans la fonction openSharedCacheFile() de dyld. Ces problèmes ont été résolus par une meilleure vérification des limites.

    Référence CVE

    CVE-2013-3950 : Stefan Esser

  • Systèmes de fichiers

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant pouvant monter un système de fichiers non HFS est en mesure de générer une fermeture inopinée du système ou une exécution arbitraire de code avec des privilèges au niveau du noyau.

    Description : un problème de corruption de la mémoire existait au niveau de la gestion des fichiers AppleDouble. Ce problème a été résolu par le retrait de la prise en charge des fichiers AppleDouble.

    Référence CVE

    CVE-2013-3955 : Stefan Esser

  • ImageIO

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’ouverture d’un fichier PDF malveillant peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code.

    Description : un dépassement de la mémoire tampon se produisait au niveau de la gestion des données chiffrées JPEG2000 dans les fichiers PDF. Ce problème a été résolu par une vérification supplémentaire des limites.

    Référence CVE

    CVE-2013-1026 : Felix Groebert de l’équipe de sécurité de Google

  • IOKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : des applications en arrière-plan pouvaient insérer des événements d’interface utilisateur dans l’application exécutée au premier plan.

    Description : les applications en arrière-plan avaient la possibilité d’insérer des événements d’interface utilisateur dans l’application exécutée au premier plan à l’aide des API VoIP ou de la réalisation de tâches. Ce problème a été résolu par l’application de contrôles d’accès sur les processus de premier plan et d’arrière-plan assurant la gestion des événements d’interface.

    Référence CVE

    CVE-2013-5137 : Mackenzie Straight de Mobile Labs

  • IOKitUser

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : une application malveillante locale pouvait entraîner la fermeture inopinée du système.

    Description : un déréférencement de pointeurs null existait dans IOCatalogue. Ce problème a été résolu par une vérification supplémentaire des types.

    Référence CVE

    CVE-2013-5138 : Will Estes

  • IOSerialFamily

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’exécution d’une application malveillante peut entraîner une exécution arbitraire de code au niveau du noyau.

    Description : un accès à un tableau hors limites existait dans le pilote IOSerialFamily. Ce problème a été résolu par une vérification supplémentaire des limites.

    Référence CVE

    CVE-2013-5139 : @dent1zt

  • IPSec

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant est en mesure d’intercepter des données protégées par un processus d’authentification hybride IPSec.

    Description : le nom DNS d’un serveur avec authentification hybride IPSec n’était pas associé au certificat. Ainsi, un attaquant disposant d’un certificat correspondant à tout type de serveur pouvait se faire passer pour un autre serveur. Ce problème a été résolu par l’amélioration de la vérification des certificats.

    Référence CVE

    CVE-2013-1028 : Alexander Traud de www.traud.de

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant à distance peut entraîner le redémarrage inopiné d’un appareil.

    Description : l’envoi d’un fragment de paquet non valide à un appareil pouvait entraîner le déclenchement d’une assertion au niveau du noyau et provoquer le redémarrage de l’appareil. Ce problème a été résolu par une validation supplémentaire des fragments de paquets.

    Référence CVE

    CVE-2013-5140 : Joonas Kuorilehto de Codenomicon, un chercheur anonyme travaillant en collaboration avec CERT-FI, Antti Levomäki et Lauri Virtanen du Groupe d’analyse des vulnérabilités, Stonesoft

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : une application malveillante locale pouvait entraîner le blocage des appareils.

    Description : une vulnérabilité au niveau de la troncature d’entier dans l’interface socket du noyau pouvait être exploitée pour imposer une boucle infinie au processeur. Ce problème a été résolu par l’utilisation d’une variable plus large.

    Référence CVE

    CVE-2013-5141 : CESG

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant se trouvant sur un réseau local peut entraîner un déni de service.

    Description : un attaquant se trouvant sur un réseau local pouvait envoyer des paquets IPv6 ICMP spécialement conçus et augmenter la charge du processeur. Ce problème a été résolu par la limitation du taux de paquets ICMP avant la vérification de leur total de contrôle.

    Référence CVE

    CVE-2011-2391 : Marc Heuse

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la mémoire de la pile du noyau peut être divulguée aux utilisateurs locaux.

    Description : un problème de divulgation d’informations existait dans les API msgctl et segctl. Ce problème a été résolu par l’initialisation des structures de données renvoyées par le noyau.

    Référence CVE

    CVE-2013-5142 : Kenzley Alphonse de Kenx Technology, Inc.

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : des processus ne disposant pas de privilèges pouvaient accéder au contenu de la mémoire du noyau, ce qui risquait d’entraîner une augmentation du niveau des privilèges.

    Description : un problème de divulgation d’informations existait dans l’API mach_port_space_info. Ce problème a été résolu par l’initialisation du champ iin_collision dans les structures renvoyées par le noyau.

    Référence CVE

    CVE-2013-3953 : Stefan Esser

  • Noyau

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : des processus ne disposant pas de privilèges pouvaient entraîner la fermeture inopinée du système ou une exécution arbitraire de code dans le noyau.

    Description : un problème de corruption de la mémoire existait au niveau du traitement des arguments de l’API posix_spawn. Ce problème a été résolu par une vérification supplémentaire des limites.

    Référence CVE

    CVE-2013-3954 : Stefan Esser

  • Gestion Kext

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un processus non autorisé était en mesure de modifier l’ensemble des extensions de noyau chargées.

    Description : un problème existait au niveau du traitement par kextd des messages IPC envoyés par des expéditeurs non authentifiés. Ce problème a été résolu par l’ajout de vérifications supplémentaires au niveau des autorisations.

    Référence CVE

    CVE-2013-5145 : « Rainbow PRISM »

  • libxml

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’affichage d’une page Web malveillante peut entraîner la fermeture inopinée d’une application ou une exécution arbitraire de code.

    Description : libxml présentait plusieurs problèmes de corruption de la mémoire. Ces problèmes ont été résolus par la mise à jour de libxml vers la version 2.9.0.

    Référence CVE

    CVE-2011-3102 : Jüri Aedla

    CVE-2012-0841

    CVE-2012-2807 : Jüri Aedla

    CVE-2012-5134 : équipe de sécurité de Google Chrome (Jüri Aedla)

  • libxslt

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’affichage d’une page Web malveillante peut entraîner la fermeture inopinée d’une application ou une exécution arbitraire de code.

    Description : libxslt présentait plusieurs problèmes de corruption de la mémoire. Ces problèmes ont été résolus par la mise à jour de libxslt vers la version 1.1.28.

    Référence CVE

    CVE-2012-2825 : Nicolas Gregoire

    CVE-2012-2870 : Nicolas Gregoire

    CVE-2012-2871 : Kai Lu de FortiGuard Labs de Fortinet, Nicolas Gregoire

  • Verrouillage par code

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : une personne pouvant physiquement accéder à l’appareil peut contourner le système de verrouillage de l’écran.

    Description : un problème de concurrence critique existait au niveau du traitement des appels téléphoniques et de l’éjection de la carte SIM sur l’écran de verrouillage. Ce problème a été résolu par une meilleure gestion du mode de verrouillage.

    Référence CVE

    CVE-2013-5147 : videosdebarraquito

  • Partage de connexion

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : un attaquant peut être en mesure de rejoindre un réseau Partage de connexion.

    Description : un problème existait au niveau de la génération des mots de passe de la fonctionnalité Partage de connexion, ce qui entraînait la génération de mots de passe qu’un attaquant pouvait prévoir et utiliser pour rejoindre le réseau Partage de connexion d’un utilisateur. Ce problème a été résolu par la génération de mots de passe caractérisés par une entropie plus élevée.

    Référence CVE

    CVE-2013-4616 : Andreas Kurtz de NESO Security Labs et Daniel Metz de l’Université d’Erlangen-Nuremberg

  • Notifications Push

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : le jeton de notification push peut être divulgué à une application contre l’avis de l’utilisateur.

    Description : un problème de divulgation d’informations existait au niveau de l’enregistrement de la notification push. Les applications demandant un accès à la notification push recevaient le jeton avant que l’utilisateur approuve l’utilisation des notifications push par l’application. Ce problème a été résolu par le retrait de l’accès au jeton tant que l’accès n’a pas été approuvé par l’utilisateur.

    Référence CVE

    CVE-2013-5149 : Jack Flintermann de Grouper, Inc.

  • Safari

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la fermeture inopinée d’une application ou une exécution arbitraire de code.

    Description : un problème de corruption de la mémoire existait au niveau de la gestion des fichiers XML. Ce problème a été résolu par une vérification supplémentaire des limites.

    Référence CVE

    CVE-2013-1036 : Kai Lu de FortiGuard Labs de Fortinet

  • Safari

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’historique des pages récemment consultées dans un onglet ouvert est susceptible d’être conservé après la suppression de l’historique.

    Description : la suppression de l’historique Safari ne permettait pas d’effacer l’historique des pages précédentes/suivantes pour les onglets ouverts. Ce problème a été résolu par la suppression de l’historique précédent/suivant.

    Référence CVE

    CVE-2013-5150

  • Safari

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’affichage de fichiers sur un site Web peut entraîner l’exécution de scripts même si le serveur envoie un en-tête « Type de contenu : texte/texte brut ».

    Description : Mobile Safari traitait parfois les fichiers en tant que fichiers HTML même si le serveur envoyait un en-tête « Type de contenu : texte/texte brut ». Cette situation pouvait entraîner un scriptage intersites sur des sites permettant aux utilisateurs de charger des fichiers. Ce problème a été résolu par l’amélioration du traitement des fichiers lorsque l’en-tête est défini sur « Type de contenu : texte/texte brut ».

    Référence CVE

    CVE-2013-5151 : Ben Toews de Github

  • Safari

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner l’affichage d’une URL arbitraire.

    Description : un problème d’usurpation de barre URL existait dans Mobile Safari. Ce problème a été résolu par un meilleur suivi de l’URL.

    Référence CVE

    CVE-2013-5152 : Keita Haga de keitahaga.com, Łukasz Pilorz de RBS

  • Sandbox

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : les applications correspondant à des scripts n’ont pas été placées dans une sandbox.

    Description : les applications tierces ayant utilisé la syntaxe #! pour exécuter un script ont été placées dans une sandbox en fonction de l’identité de l’interpréteur de script, et non du script lui-même. Il est possible que l’interpréteur ne dispose pas de sandbox définie, ce qui entraîne l’exécution de l’application hors d’une sandbox. Ce problème a été résolu par la création de la sandbox à partir de l’identité du script.

    Référence CVE

    CVE-2013-5154 : evad3rs

  • Sandbox

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : les applications peuvent entraîner le blocage d’un système.

    Description : des applications tierces malveillantes écrivant des valeurs spécifiques sur l’appareil /dev/random pouvaient contraindre le processeur à entrer dans une boucle infinie. Ce problème a été résolu en empêchant les applications tierces d’écrire sur l’appareil /dev/random.

    Référence CVE

    CVE-2013-5155 : CESG

  • Réseaux sociaux

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : l’activité récente des utilisateurs sur Twitter pouvait être divulguée sur des appareils non protégés par un code.

    Description : un problème existait et permettait d’identifier les comptes Twitter avec lesquels un utilisateur avait récemment interagi. Ce problème a été résolu par la restriction de l’accès à la mémoire cache de l’icône Twitter.

    Référence CVE

    CVE-2013-5158 : Jonathan Zdziarski

  • Springboard

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : une personne ayant physiquement accès à un appareil en mode Perdu est en mesure de consulter les notifications.

    Description : un problème existait au niveau du traitement des notifications lorsqu’un appareil était en mode Perdu. Cette mise à jour permet de résoudre le problème par l’amélioration de la gestion de l’état de verrouillage.

    Référence CVE

    CVE-2013-5153 : Daniel Stangroom

  • Téléphonie

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : des applications malveillantes pouvaient contrôler ou interférer avec des fonctionnalités téléphoniques.

    Description : un problème de contrôle d’accès existait au niveau du sous-système téléphonique. En contournant les API prises en charge, les applications figurant dans une sandbox pouvaient soumettre des demandes directement à un démon système contrôlant ou interférant avec les fonctionnalités téléphoniques. Ce problème a été résolu par l’application de contrôles d’accès sur les interfaces en contact avec le démon téléphonique.

    Référence CVE

    CVE-2013-5156 : Jin Han de l’Institut de recherche Infocomm en collaboration avec Qiang Yan et Su Mon Kywe de l’Université de gestion de Singapour ; Tielei Wang, Kangjie Lu, Long Lu, Simon Chung et Wenke Lee de l’Institut technologique de Géorgie

  • Twitter

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : les applications figurant dans une sandbox pouvaient envoyer des tweets sans autorisation ni interaction avec les utilisateurs.

    Description : un problème de contrôle d’accès existait au niveau du sous-système Twitter. En contournant les API prises en charge, les applications figurant dans une sandbox pouvaient soumettre des demandes directement à un démon système contrôlant ou interférant avec les fonctionnalités Twitter. Ce problème a été résolu par l’application de contrôles d’accès sur les interfaces en contact avec le démon Twitter.

    Référence CVE

    CVE-2013-5157 : Jin Han de l’Institut de recherche Infocomm en collaboration avec Qiang Yan et Su Mon Kywe de l’Université de gestion de Singapour ; Tielei Wang, Kangjie Lu, Long Lu, Simon Chung et Wenke Lee de l’Institut technologique de Géorgie

  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la fermeture inopinée d’une application ou une exécution arbitraire de code.

    Description : WebKit présentait plusieurs problèmes de corruption de la mémoire. Ces problèmes ont été résolus par une meilleure gestion de la mémoire.

    Référence CVE

    CVE-2013-0879 : Atte Kettunen d’OUSPG

    CVE-2013-0991 : Jay Civelli de la communauté de développement Chromium

    CVE-2013-0992 : équipe de sécurité de Google Chrome (Martin Barbella)

    CVE-2013-0993 : équipe de sécurité de Google Chrome (Inferno)

    CVE-2013-0994 : David German de Google

    CVE-2013-0995 : équipe de sécurité de Google Chrome (Inferno)

    CVE-2013-0996 : équipe de sécurité de Google Chrome (Inferno)

    CVE-2013-0997 : Vitaliy Toropov en collaboration avec le programme Zero Day Initiative d’HP

    CVE-2013-0998 : pa_kt en collaboration avec le programme Zero Day Initiative d’HP

    CVE-2013-0999 : pa_kt en collaboration avec le programme Zero Day Initiative d’HP

    CVE-2013-1000 : Fermin J. Serna de l’équipe de sécurité de Google

    CVE-2013-1001 : Ryan Humenick

    CVE-2013-1002 : Sergey Glazunov

    CVE-2013-1003 : équipe de sécurité de Google Chrome (Inferno)

    CVE-2013-1004 : équipe de sécurité de Google Chrome (Martin Barbella)

    CVE-2013-1005 : équipe de sécurité de Google Chrome (Martin Barbella)

    CVE-2013-1006 : équipe de sécurité de Google Chrome (Martin Barbella)

    CVE-2013-1007 : équipe de sécurité de Google Chrome (Inferno)

    CVE-2013-1008 : Sergey Glazunov

    CVE-2013-1010 : miaubiz

    CVE-2013-1037 : équipe de sécurité de Google Chrome

    CVE-2013-1038 : équipe de sécurité de Google Chrome

    CVE-2013-1039 : recherche personnelle dans le cadre du projet VCP iDefense

    CVE-2013-1040 : équipe de sécurité de Google Chrome

    CVE-2013-1041 : équipe de sécurité de Google Chrome

    CVE-2013-1042 : équipe de sécurité de Google Chrome

    CVE-2013-1043 : équipe de sécurité de Google Chrome

    CVE-2013-1044 : Apple

    CVE-2013-1045 : équipe de sécurité de Google Chrome

    CVE-2013-1046 : équipe de sécurité de Google Chrome

    CVE-2013-1047 : miaubiz

    CVE-2013-2842 : Cyril Cattiaux

    CVE-2013-5125 : équipe de sécurité de Google Chrome

    CVE-2013-5126 : Apple

    CVE-2013-5127 : équipe de sécurité de Google Chrome

    CVE-2013-5128 : Apple

  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner la divulgation d’informations.

    Description : un problème de divulgation d’informations existait au niveau du traitement de l’API window.webkitRequestAnimationFrame(). Un site Web conçu de façon malveillante pouvait utiliser un iframe pour déterminer si un autre site avait utilisé window.webkitRequestAnimationFrame(). Ce problème a été résolu par l’amélioration du traitement de window.webkitRequestAnimationFrame().

    Référence CVE

    CVE-2013-5159
  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : le fait de copier et de coller un composant HTML malveillant peut entraîner une attaque de scriptage intersites.

    Description : un problème de scriptage intersites existait au niveau de la gestion des données copiées et collées dans des documents HTML. Ce problème a été résolu par une validation supplémentaire du contenu copié.

    Référence CVE

    CVE-2013-0926 : Aditya Gupta, Subho Halder et Dev Kar de xys3c (xysec.com)

  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner une attaque de scriptage intersites.

    Description : un problème de scriptage intersites existait au niveau de la gestion des iframes. Ce problème a été résolu par un meilleur suivi de l’origine.

    Référence CVE

    CVE-2013-1012 : Subodh Iyengar et Erling Ellingsen de Facebook

  • WebKit

    Disponible pour : iPhone 3GS et modèle ultérieur, iPod touch (4e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web conçu de manière malveillante peut entraîner la divulgation d’informations.

    Description : un problème de divulgation d’informations existait dans XSSAuditor. Ce problème a été résolu par l’amélioration du traitement des URL.

    Référence CVE

    CVE-2013-2848 : Egor Homakov

  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : le déplacement ou le collage d’une sélection peut entraîner une attaque de scriptage intersites.

    Description : le déplacement ou le collage d’une sélection d’un site vers un autre permettait l’exécution, dans le contexte du nouveau site, des scripts contenus dans la sélection. Ce problème a été résolu par une validation supplémentaire du contenu avant une opération de type copier-coller ou glisser-déposer.

    Référence CVE

    CVE-2013-5129 : Mario Heiderich

  • WebKit

    Disponible pour : iPhone 4 et modèle ultérieur, iPod touch (5e génération) et modèle ultérieur, iPad 2 et modèle ultérieur.

    Conséquence : la consultation d’un site Web malveillant peut entraîner une attaque de scriptage intersites.

    Description : un problème de scriptage intersites existait au niveau de la gestion des URL. Ce problème a été résolu par un meilleur suivi de l’origine.

    Référence CVE

    CVE-2013-5131 : Erling A Ellingsen

Important : les mentions de sites Web et de produits tiers ne sont fournies qu’à titre indicatif et ne constituent ni une recommandation ni une approbation d’Apple. Apple n’endosse aucune responsabilité au sujet de la sélection, des performances ou de l’utilisation des informations ou des produits qui se trouvent sur des sites Web tiers. Apple ne fournit ces renseignements que pour la commodité de ses utilisateurs. Apple n’a pas vérifié les informations qui se trouvent sur lesdits sites et n’effectue aucune déclaration concernant leur exactitude ou leur fiabilité. Il existe des dangers inhérents à l’usage de tout renseignement ou produit trouvé sur Internet et Apple n’endosse aucune responsabilité à cet égard. Veuillez comprendre qu’un site tiers est indépendant d’Apple et qu’Apple n’a aucun contrôle sur le contenu dudit site. Veuillez contacter le vendeur pour tout renseignement supplémentaire.

Dernière modification : 26 sept. 2013
Avez-vous trouvé cet article utile ?
Oui
Non
Not helpful Somewhat helpful Helpful Very helpful Solved my problem
Imprimer cette page
  • Dernière modification : 26 sept. 2013
  • Article : HT5934
  • Visites:

    139573
  • Note :
    • 83.0

    (228 réponses)

Informations supplémentaires relatives à l’assistance produit