Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.
Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.
Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.
Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.
iOS 8.1
-
Bluetooth
Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer
Auswirkung: Ein böswilliges Bluetooth-Eingabegerät kann die Kopplung umgehen
Beschreibung: Von energiesparenden Bluetooth-Zubehörteilen der Human Interface Device-Klasse wurden unverschlüsselte Verbindungen zugelassen. Wenn ein iOS-Gerät mit einem derartigen Zubehörteil gekoppelt war, konnte ein Angreifer das legitime Zubehörteil täuschen, um eine Verbindung herzustellen. Das Problem wurde behoben, indem unverschlüsselte HID-Verbindungen abgelehnt werden.
CVE-ID
CVE-2014-4428: Mike Ryan von iSEC Partners
-
House Arrest
Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer
Auswirkung: Auf das Gerät übertragene Dateien können mit unzureichendem kryptographischen Schutz geschrieben werden
Beschreibung: Dateien konnten in das Verzeichnis "Dokumente" einer App übertragen und mit einem Schlüssel verschlüsselt werden, der nur durch die Hardware-UID geschützt war. Dieses Problem wurde behoben, indem die übertragenen Dateien mit einem Schlüssel kodiert werden, der durch die Hardware-UID und den Code des Benutzers geschützt wird.
CVE-ID
CVE-2014-4448: Jonathan Zdziarski und Kevin DeLong
-
iCloud-Datenzugriff
Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer
Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann iCloud-Datenzugriffclients dazu zwingen, vertrauliche Informationen preiszugeben
Beschreibung: In den iCloud-Datenzugriffclients gab es eine Schwachstelle bei der TLS-Zertifikatsprüfung. Dieses Problem wurde durch eine verbesserte Zertifikatsüberprüfung behoben.
CVE-ID
CVE-2014-4449: Carl Mehner von USAA
-
Tastaturen
Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer
Auswirkung: QuickType konnte die Anmeldedaten des Benutzers in Erfahrung bringen
Beschreibung: QuickType konnte beim Wechsel zwischen Elementen die Anmeldedaten des Benutzers in Erfahrung bringen. Dieses Problem wurde dadurch behoben, indem QuickType nichts aus Feldern in Erfahrung bringt, bei denen die automatische Vervollständigung deaktiviert ist, und die Kriterien beim Wechsel zwischen DOM-Eingabeelementen in einer alten WebKit-Version wieder angewandt werden.
CVE-ID
CVE-2014-4450
-
Secure Transport
Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer
Auswirkung: Ein Angreifer kann möglicherweise durch SSL geschützte Daten entschlüsseln
Beschreibung: Es gibt bekannte Angriffe auf die Vertraulichkeit von SSL 3.0, wenn eine Cipher Suite einen Block-Cipher im CBC-Modus verwendet. Ein Angreifer könnte die Nutzung von SSL 3.0 erzwingen, auch wenn der Server eine bessere TLS-Version unterstützt, indem Verbindungsversuche mit TLS 1.0 und höher blockiert werden. Dieses Problem wurde behoben, indem CBC Cipher Suites deaktiviert werden, wenn eine TLS-Verbindung fehlschlägt.
CVE-ID
CVE-2014-3566: Bodo Moeller, Thai Duong und Krzysztof Kotowicz vom Google-Sicherheitsteam