Informationen zum Sicherheitsinhalt von iOS 8.1.3

In diesem Dokument wird der Sicherheitsinhalt von iOS 8.1.3 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.

iOS 8.1.3

  • AppleFileConduit

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstellter afc-Befehl kann Zugriff auf geschützte Teile des Dateisystems gewähren.

    Beschreibung: Es bestand eine Schwachstelle beim symbolischen Verknüpfungsmechanismus von afc. Dieses Problem wurde durch zusätzliche Pfadüberprüfungen behoben.

    CVE-ID

    CVE-2014-4480: TaiG Jailbreak Team

  • CoreGraphics

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von PDF-Dateien konnte ein Ganzzahlüberlauf auftreten. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4481: Felipe Andres Manzano von Binamuse VRT über das iSIGHT Partners GVP Program

  • dyld

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein lokaler Benutzer kann nicht signierten Code ausführen.

    Beschreibung: Bei der Verarbeitung von ausführbaren Mach-O-Dateien mit überlappenden Segmenten lag ein Problem mit der Statusverwaltung vor. Dieses Problem wurde durch eine verbesserte Überprüfung von Segmentgrößen behoben.

    CVE-ID

    CVE-2014-4455: TaiG Jailbreak Team

  • FontParser

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Das Öffnen einer in böser Absicht erstellten PDF-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von Schrift-Dateien kann es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4483: Apple

  • FontParser

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Die Verarbeitung einer in böser Absicht erstellten .dfont-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Bei der Verarbeitung von .dfont-Dateien gab es einen Speicherfehler. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4484: Gaurav Baruah in Zusammenarbeit mit der Zero Day Initiative von HP

  • Foundation

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Das Anzeigen einer in böser Absicht erstellten XML-Datei kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: Im XML-Parser konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4485: Apple

  • IOAcceleratorFamily

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von Ressourcenlisten in IOAcceleratorFamily gab es eine Null-Zeiger-Dereferenz. Das Problem wurde durch Entfernen des nicht benötigten Codes behoben.

    CVE-ID

    CVE-2014-4486: Ian Beer von Google Project Zero

  • IOHIDFamily

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: In IOHIDFamily konnte es zu einem Pufferüberlauf kommen. Dieses Problem wurde durch eine verbesserte Größenüberprüfung behoben.

    CVE-ID

    CVE-2014-4487: TaiG Jailbreak Team

  • IOHIDFamily

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von Ressourcenwartelisten-Metadaten in IOHIDFamily existierte ein Validierungsproblem. Dieses Problem wurde durch eine verbesserte Überprüfung von Metadaten behoben.

    CVE-ID

    CVE-2014-4488: Apple

  • IOHIDFamily

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Bei der Verarbeitung von Ereigniswartelisten in IOHIDFamily gab es eine Null-Zeiger-Dereferenz. Dieses Problem wurde durch eine verbesserte Überprüfung behoben.

    CVE-ID

    CVE-2014-4489: @beist

  • iTunes Store

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Eine Website kann mit dem iTunes Store womöglich die Sandbox-Einschränkungen umgehen.

    Beschreibung: Es existierte ein Problem bei der Verarbeitung von URLs, die von Safari in den iTunes Store umgeleitet wurden und die es einer böswilligen Website erlauben konnten, die Sandbox-Einschränkungen von Safari zu umgehen. Das Problem wurde durch ein verbessertes Filtern von URLs behoben, die vom iTunes Store geöffnet werden.

    CVE-ID

    CVE-2014-8840: lokihardt@ASRT in Zusammenarbeit mit der Zero Day Initiative von HP

  • Kerberos

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Die Kerberos-Bibliothek libgssapi gab einen Kontext-Token mit losem Zeiger aus. Dieses Problem wurde durch eine verbesserte Statusverwaltung behoben.

    CVE-ID

    CVE-2014-5352

  • Kernel

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: In böser Absicht erstellte oder kompromittierte iOS-Programme sind unter Umständen in der Lage, Adressen im Kernel zu ermitteln.

    Beschreibung: Bei der Verarbeitung von APIs wurden in Bezug auf Kernel-Erweiterungen Informationen offengelegt. Antworten mit OSBundleMachOHeaders-Schlüssel enthielten möglicherweise Kernel-Adressen, die zur Umgehung der ASLR-Sicherheit (Address Space Layout Randomization) genutzt werden können. Dieses Problem wurde durch ein Unsliding der Adressen vor dem Zurücksenden behoben.

    CVE-ID

    CVE-2014-4491: @PanguTeam, Stefan Esser

  • Kernel

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes Programm kann möglicherweise willkürlichen Code mit Systemrechten ausführen.

    Beschreibung: Es bestand ein Problem im gemeinsam genutzten Speichersubsystem des Kernels, das es einem Angreifer erlaubte, etwas in den Speicher zu schreiben, obwohl dieser schreibgeschützt sein sollte. Dieses Problem wurde durch eine strengere Überprüfung gemeinsam genutzter Speicherberechtigungen behoben.

    CVE-ID

    CVE-2014-4495: Ian Beer von Google Project Zero

  • Kernel

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: In böser Absicht erstellte oder kompromittierte iOS-Programme sind unter Umständen in der Lage, Adressen im Kernel zu ermitteln.

    Beschreibung: Über die Kernel-Schnittstelle mach_port_kobject wurden Kernel-Adressen und der Heap-Permutationswert offengelegt, wodurch der ASLR-Schutz leichter umgangen werden konnte. Dieses Problem wurde durch das Deaktivieren der mach_port_kobject-Schnittstelle in Produktionskonfigurationen behoben.

    CVE-ID

    CVE-2014-4496: TaiG Jailbreak Team

  • libnetcore

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Eine in böser Absicht erstellte, in der Sandbox ausgeführte App kann den networkd-Daemon kompromittieren.

    Beschreibung: Bei der Verarbeitung der Interprozesskommunikation in networkd gab es mehrere Typenverwechslungsprobleme. Durch Senden einer in böser Absicht formatierten Nachricht an networkd war es möglich, willkürlichen Code als networkd-Prozess auszuführen. Das Problem wird durch eine zusätzliche Typüberprüfung behoben.

    CVE-ID

    CVE-2014-4492: Ian Beer von Google Project Zero

  • MobileInstallation

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Ein in böser Absicht erstelltes unternehmenssigniertes Programm kann die Kontrolle des lokalen Containers für Programme übernehmen, die sich bereits auf einem Gerät befinden.

    Beschreibung: Beim Programminstallationsprozess existierte eine Schwachstelle. Dieses Problem wurde behoben, indem verhindert wird, dass Unternehmensprogramme vorhandene Programme in bestimmten Szenarien überschreiben.

    CVE-ID

    CVE-2014-4493: Hui Xue und Tao Wei von FireEye, Inc.

  • Springboard

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Unternehmenssignierte Programme können ohne Bestätigung der Vertrauenswürdigkeit aufgerufen werden.

    Beschreibung: Es bestand ein Problem mit der Bestimmung, wann eine Aufforderung zur Bestätigung der Vertrauenswürdigkeit erfolgt, wenn ein unternehmenssigniertes Programm das erste Mal geöffnet wird. Dieses Problem wurde durch eine verbesserte Codesignatur-Überprüfung behoben.

    CVE-ID

    CVE-2014-4494: Song Jin, Hui Xue und Tao Wei von FireEye, Inc.

  • WebKit

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Der Besuch einer Website, die in Frames schädliche Inhalte enthält, kann zu UI-Spoofing führen.

    Beschreibung: Es bestand ein UI-Spoofing-Problem bei der Verarbeitung von Scrollbalkengrenzen. Dieses Problem wurde durch eine verbesserte Abgrenzungsüberprüfung behoben.

    CVE-ID

    CVE-2014-4467: Jordan Milne

  • WebKit

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Style Sheets werden cross-origin geladen, wodurch eine Datenexfiltration ermöglicht wird.

    Beschreibung: Ein in einem img-Objekt geladenes SVG konnte eine CSS-Datei cross-origin laden. Dieses Problem wurde durch eine verbesserte Blockade externer CSS-Verweise in SVGs behoben.

    CVE-ID

    CVE-2014-4465: Rennie deGraaf von iSEC Partners

  • WebKit

    Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

    Auswirkung: Der Besuch einer in böser Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen.

    Beschreibung: In WebKit gab es mehrere Speicherfehler. Diese Probleme wurden durch eine verbesserte Speicherverwaltung behoben.

    CVE-ID

    CVE-2014-3192: cloudfuzzer

    CVE-2014-4459

    CVE-2014-4466: Apple

    CVE-2014-4468: Apple

    CVE-2014-4469: Apple

    CVE-2014-4470: Apple

    CVE-2014-4471: Apple

    CVE-2014-4472: Apple

    CVE-2014-4473: Apple

    CVE-2014-4474: Apple

    CVE-2014-4475: Apple

    CVE-2014-4476: Apple

    CVE-2014-4477: lokihardt@ASRT in Zusammenarbeit mit der Zero Day Initiative von HP

    CVE-2014-4479: Apple

Informationen zu nicht von Apple gefertigten Produkten sowie nicht von Apple gesteuerte oder geprüfte unabhängige Websites werden ohne Empfehlung und Unterstützung zur Verfügung gestellt. Apple übernimmt keine Verantwortung für die Auswahl, Leistung oder Nutzung von Websites und Produkten Dritter. Apple übernimmt keine Garantie für die Richtigkeit und Zuverlässigkeit von Drittanbieter-Websites. Die Nutzung des Internets birgt Risiken. Kontaktieren Sie den Hersteller, um zusätzliche Informationen zu erhalten. Andere Produkt- und Firmennamen sind möglicherweise Marken ihrer jeweiligen Eigentümer.

Veröffentlichungsdatum: