Informationen zum Sicherheitsinhalt von iOS 8.1

In diesem Dokument wird der Sicherheitsinhalt von iOS 8.1 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit finden Sie auf der Website Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit finden Sie unter Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates finden Sie unter Apple-Sicherheitsupdates.

iOS 8.1

• Bluetooth

  Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

  Auswirkung: Ein böswilliges Bluetooth-Eingabegerät kann die Kopplung umgehen

  Beschreibung: Von energiesparenden Bluetooth-Zubehörteilen der Human Interface Device-Klasse wurden unverschlüsselte Verbindungen zugelassen. Wenn ein iOS-Gerät mit einem derartigen Zubehörteil gekoppelt war, konnte ein Angreifer das legitime Zubehörteil täuschen, um eine Verbindung herzustellen. Das Problem wurde behoben, indem unverschlüsselte HID-Verbindungen abgelehnt werden.

  CVE-ID

  CVE-2014-4428: Mike Ryan von iSEC Partners

• House Arrest

  Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

  Auswirkung: Auf das Gerät übertragene Dateien können mit unzureichendem kryptographischen Schutz geschrieben werden

  Beschreibung: Dateien konnten in das Verzeichnis "Dokumente" einer App übertragen und mit einem Schlüssel verschlüsselt werden, der nur durch die Hardware-UID geschützt war. Dieses Problem wurde behoben, indem die übertragenen Dateien mit einem Schlüssel kodiert werden, der durch die Hardware-UID und den Code des Benutzers geschützt wird.

  CVE-ID

  CVE-2014-4448: Jonathan Zdziarski und Kevin DeLong

• iCloud-Datenzugriff

  Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

  Auswirkung: Ein Angreifer in einer privilegierten Netzwerkposition kann iCloud-Datenzugriffclients dazu zwingen, vertrauliche Informationen preiszugeben

  Beschreibung: In den iCloud-Datenzugriffclients gab es eine Schwachstelle bei der TLS-Zertifikatsprüfung. Dieses Problem wurde durch eine verbesserte Zertifikatsüberprüfung behoben.

  CVE-ID

  CVE-2014-4449: Carl Mehner von USAA

• Tastaturen

  Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

  Auswirkung: QuickType konnte die Anmeldedaten des Benutzers in Erfahrung bringen

  Beschreibung: QuickType konnte beim Wechsel zwischen Elementen die Anmeldedaten des Benutzers in Erfahrung bringen. Dieses Problem wurde dadurch behoben, indem QuickType nichts aus Feldern in Erfahrung bringt, bei denen die automatische Vervollständigung deaktiviert ist, und die Kriterien beim Wechsel zwischen DOM-Eingabeelementen in einer alten WebKit-Version wieder angewandt werden.

  CVE-ID

  CVE-2014-4450

• Secure Transport

  Verfügbar für: iPhone 4s und neuer, iPod touch (5. Generation und neuer), iPad 2 und neuer

  Auswirkung: Ein Angreifer kann möglicherweise durch SSL geschützte Daten entschlüsseln

  Beschreibung: Es gibt bekannte Angriffe auf die Vertraulichkeit von SSL 3.0, wenn eine Cipher Suite einen Block-Cipher im CBC-Modus verwendet. Ein Angreifer könnte die Nutzung von SSL 3.0 erzwingen, auch wenn der Server eine bessere TLS-Version unterstützt, indem Verbindungsversuche mit TLS 1.0 und höher blockiert werden. Dieses Problem wurde behoben, indem CBC Cipher Suites deaktiviert werden, wenn eine TLS-Verbindung fehlschlägt.

  CVE-ID

  CVE-2014-3566: Bodo Moeller, Thai Duong und Krzysztof Kotowicz vom Google-Sicherheitsteam