Informace o bezpečnostním obsahu iOS 9.2

Tento dokument popisuje bezpečnostní obsah iOS 9.2.

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici potřebné opravy nebo aktualizace. Podrobnější informace o zabezpečení produktů Apple najdete na této stránce.

Informace o klíči PGP zabezpečení produktů Apple najdete v článku Jak používat klíč PGP zabezpečení produktů Apple.

Pokud je to možné, jako odkazy na další informace o bezpečnostních chybách se používají identifikátory CVE ID.

Informace o dalších bezpečnostních aktualizacích najdete v článku Bezpečnostní aktualizace Apple.

iOS 9.2

  • AppleMobileFileIntegrity

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: Problém s řízením přístupu byl vyřešen tak, že bylo zabráněno úpravám struktur řízení přístupu.

    CVE-ID

    CVE-2015-7055: Apple

  • AppSandbox

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace si může ponechat přístup ke Kontaktům, i když jí byl odebrán.

    Popis: Existoval problém v tom, jak sandbox zpracovával pevné odkazy. Problém byl vyřešen vylepšením zabezpečení aplikačního sandboxu.

    CVE-ID

    CVE-2015-7001: Razvan Deaconescu a Mihai Bucicoiu z Polytechnické univerzity v Bukurešti; Luke Deshotels a William Enck z North Carolina State University; Lucas Vincenzo Davi a Ahmad-Reza Sadeghi z TU Darmstadt

  • Protokol HTTP frameworku CFNetwork

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Útočník s vysokými oprávněními v síti může být schopný obejít protokol HSTS.

    Popis: Při zpracovávání URL adres docházelo k problému s ověřováním vstupu. Problém byl vyřešen lepším ověřováním URL adres.

    CVE-ID

    CVE-2015-7094: Tsubasa Iinuma (@llamakko_cafe) ze společnosti Gehirn Inc. a Muneaki Nishimura (nishimunea)

  • Komprese

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: V součásti zlib existoval problém s neinicializovaným přístupem k paměti. Problém byl vyřešen lepší inicializací paměti a dodatečným ověřováním streamů zlib.

    CVE-ID

    CVE-2015-7054: j00ru

  • CoreGraphics

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Zpracování škodlivého souboru písma může vést ke spuštění libovolného kódu.

    Popis: Ve zpracovávání souborů písem existoval problém s poškozením paměti. Problém byl vyřešen vylepšením ověřování vstupů.

    CVE-ID

    CVE-2015-7105: John Villamil (@day6reak), Yahoo Pentest Team

  • Přehrávání CoreMedia

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: Při zpracovávání poškozených multimediálních souborů docházelo k několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7074: Apple

    CVE-2015-7075

  • dyld

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: V součásti dyld docházelo k několika problémům s ověřováním segmentů. Problémy byly vyřešeny vylepšenou sanitizací prostředí.

    CVE-ID

    CVE-2015-7072: Apple

    CVE-2015-7079: PanguTeam

  • Framework GPUTools

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: V Mobile Replayeru docházelo k několika problémům s ověřováním cesty. Problémy byly vyřešeny vylepšenou sanitizací prostředí.

    CVE-ID

    CVE-2015-7069: Luca Todesco (@qwertyoruiop)

    CVE-2015-7070: Luca Todesco (@qwertyoruiop)

  • iBooks

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Parsování škodlivého souboru iBooks může vést ke zveřejnění uživatelských informací.

    Popis: Při provádění syntaktické analýzy souborů iBooks docházelo k problému s odkazováním na externí XML entitu. Problém byl vyřešen vylepšením parsování.

    CVE-ID

    CVE-2015-7081: Behrouz Sadeghipour (@Nahamsec) a Patrik Fehrenbach (@ITSecurityguard)

  • ImageIO

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Zpracování škodlivého obrázku může vést ke spuštění libovolného kódu.

    Popis: V součásti ImageIO existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-7053: Apple

  • IOHIDFamily

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: V API rozšíření IOHIDFamily docházelo k několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7111: beist a ABH z BoB

    CVE-2015-7112: Ian Beer z týmu Google Project Zero

  • IOKit SCSI

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivé aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: Ve zpracovávání určitých typů uživatelských klientů existoval přístup přes nulový ukazatel. Problém byl vyřešen vylepšením ověřování.

    CVE-ID

    CVE-2015-7068: Ian Beer z týmu Google Project Zero

  • Jádro

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Místní aplikaci se může podařit způsobit odmítnutí služby.

    Popis: Existovalo několik problémů s odmítnutím služeb, které byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7040: Lufeng Li z týmu Qihoo 360 Vulcan

    CVE-2015-7041: Lufeng Li z týmu Qihoo 360 Vulcan

    CVE-2015-7042: Lufeng Li z týmu Qihoo 360 Vulcan

    CVE-2015-7043: Tarjei Mandt (@kernelpool)

  • Jádro

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: V jádru existovalo několik problémů s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7083: Ian Beer z týmu Google Project Zero

    CVE-2015-7084: Ian Beer z týmu Google Project Zero

  • Jádro

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Místnímu uživateli se může podařit spustit libovolný kód s oprávněními k jádru.

    Popis: Existoval problém ve zpracovávání zpráv Mach. Problém byl vyřešen vylepšením ověřování zpráv Mach.

    CVE-ID

    CVE-2015-7047: Ian Beer z týmu Google Project Zero

  • LaunchServices

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: Ve zpracovávání deformovaných seznamů plist existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-7113: Olivier Goguel z organizace Free Tools Association

  • libarchive

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: Ve zpracovávání archivů existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2011-2895: @practicalswift

  • libc

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Zpracování škodlivého balíčku může vést ke spuštění libovolného kódu.

    Popis: Ve standardní knihovně C existovalo několik přetečení vyrovnávací paměti. Problémy byly vyřešeny vylepšením kontroly rozsahu.

    CVE-ID

    CVE-2015-7038: Brian D. Wells z E. W. Scripps,  Narayan Subramanian ze Symantec Corporation/Veritas LLC

    CVE-2015-7039: Maksymilian Arciemowicz (CXSECURITY.COM)

    Záznam aktualizován 3. března 2017

  • libxml2

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Zpracování škodlivého XML dokumentu může vést ke zveřejnění uživatelských informací.

    Popis: V parsování souborů XML docházelo k problému s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-7115: Wei Lei a Liu Yang z Technologické univerzity Nanyang

    CVE-2015-7116: Wei Lei a Liu Yang z Technologické univerzity Nanyang

  • MobileStorageMounter

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může spouštět libovolný kód se systémovými oprávněními.

    Popis: Při načítání mezipaměti důvěryhodnosti docházelo k problému s časováním. Problém byl vyřešen ověřováním systémového prostředí před načtením mezipaměti důvěryhodnosti.

    CVE-ID

    CVE-2015-7051: PanguTeam

  • OpenGL

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: V knihovně OpenGL docházelo k několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7064: Apple

    CVE-2015-7065: Apple

    CVE-2015-7066: Tongbo Luo a Bo Qu ze společnosti Palo Alto Networks

  • Fotky

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Útočník může pomocí zálohovacího systému přistupovat k nepřístupným oblastem souborového systému.

    Popis: V Mobile Backupu docházelo k několika problémům s ověřováním cesty. Problém byl vyřešen lepší sanitizací prostředí.

    CVE-ID

    CVE-2015-7037: PanguTeam

  • Rychlý náhled

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Otevření škodlivého souboru iWork může vést ke spuštění libovolného kódu.

    Popis: Ve zpracovávání souborů iWork docházelo k problému s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-7107

  • Safari

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

    Popis: Existoval problém, který mohl webům umožnit zobrazovat obsah pomocí URL jiného webu. Problém byl vyřešen vylepšením zpracování URL adres.

    CVE-ID

    CVE-2015-7093: xisigr z týmu Xuanwu Lab společnosti Tencent (www.tencent.com)

  • Sandbox

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace s kořenovými oprávněními může obejít ochranu ASLR v jádru.

    Popis: V součásti xnu existoval problém s nedostatečným oddělováním oprávnění. Problém byl vyřešen lepší kontrolou ověřování.

    CVE-ID

    CVE-2015-7046: Apple

  • Zabezpečení

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Vzdálený útočník může způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

    Popis: Ve zpracovávání kontrol handshake protokolu SSL existoval problém s poškozením paměti. Problém byl vyřešen vylepšením správy paměti.

    CVE-ID

    CVE-2015-7073: Benoit Foucher ze společnosti ZeroC, Inc.

  • Zabezpečení

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Škodlivá aplikace může získat přístup k položkám v Klíčence uživatele.

    Popis: Při ověřování seznamů řízení přístupu pro položky v Klíčence docházelo k problému. Problém byl vyřešen lepší kontrolou seznamů řízení přístupu.

    CVE-ID

    CVE-2015-7058

  • Siri

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Osoba s fyzickým přístupem k iOS zařízení může pomocí Siri číst oznámení o obsahu, který má vypnuté zobrazování na zamčené obrazovce.

    Popis: Když byl Siri dán nějaký požadavek, server neověřoval omezení na straně klienta. Problém byl vyřešen vylepšením kontroly omezení.

    CVE-ID

    CVE-2015-7080: Nebo Safran (www.linkedin.com/profile/view?id=33912591)

  • WebKit

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může vést ke spuštění libovolného kódu.

    Popis: Ve WebKitu docházelo k několika problémům s poškozením paměti. Tyto problémy byly vyřešeny vylepšením správy paměti.

    CVE-ID

    CVE-2015-7048: Apple

    CVE-2015-7095: Apple

    CVE-2015-7096: Apple

    CVE-2015-7097: Apple

    CVE-2015-7098: Apple

    CVE-2015-7099: Apple

    CVE-2015-7100: Apple

    CVE-2015-7101: Apple

    CVE-2015-7102: Apple

    CVE-2015-7103: Apple

  • WebKit

    K dispozici pro: iPhone 4s a novější, iPod touch (5. generace) a novější, iPad 2 a novější

    Dopad: Návštěva škodlivého webu může odhalit uživatelovu historii prohlížení

    Popis: V blokování obsahu existoval problém s nedostatečným ověřováním vstupů. Problém byl vyřešen lepším zpracováním obsahových rozšíření.

    CVE-ID

    CVE-2015-7050: Luke Li a Jonathan Metzman

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. S používáním internetu jsou neodmyslitelně spojena rizika. Další informace získáte od výrobce. Názvy jiných společností a produktů mohou být ochrannými známkami příslušných vlastníků.

Datum zveřejnění: