Acerca del contenido de seguridad de la actualización de iPhone 1.1.1
En este documento, se describe el contenido de seguridad de la actualización de iPhone v1,1.1.
Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación exhaustiva y estén disponibles las correcciones o versiones necesarias. Para obtener más información acerca de la seguridad de los productos Apple, consulta el sitio web Seguridad de los productos Apple.
Para obtener información acerca de la clave PGP de seguridad de los productos Apple, consulta “Cómo usar la clave PGP de seguridad de los productos Apple”.
A fin de proporcionar más información, siempre que sea posible, se usan identificadores CVE para hacer referencia a las vulnerabilidades.
Para obtener información sobre otras actualizaciones de seguridad, consulta “Actualizaciones de seguridad”.
Actualización de iPhone 1.1.1
Bluetooth
CVE-ID: CVE-2007-3753
Impacto: Un atacante dentro del alance de Bluetooth podía provocar el cierre inesperado de una app o la ejecución de código arbitrario.
Descripción: Existía un problema de validación de entradas en el servidor Bluetooth del iPhone. Al enviar paquetes de protocolos de descubrimiento de servicios (SDP) creados con fines malintencionados a un iPhone con Bluetooth activado, un atacante podía desencadenar el problema, lo que podía provocar el cierre inesperado de la app o la ejecución de código arbitrario. En esta actualización se solucionó el problema mediante una validación adicional de paquetes SDP. Quisiéramos darles las gracias a Kevin Mahaffey y John Hering de Flexilis Mobile Security por informar sobre este problema.
CVE-ID: CVE-2007-3754
Impacto: Revisar el correo electrónico en redes que no son de confianza podía provocar la divulgación de información a través de un ataque man-in-the-middle.
Descripción: Cuando Mail se configuraba de modo que se usara SSL para las conexiones entrantes y salientes, no se advertía al usuario cuando la identidad del servidor de correo cambiaba o no era de confianza. Un atacante capaz de interceptar la conexión podía suplantar al servidor de correo del usuario y obtener las credenciales de correo electrónico del usuario u otra información confidencial. En esta actualización se solucionó el problema al advertir correctamente cuando la identidad del servidor de correo remoto cambia.
CVE-ID: CVE-2007-3755
Impacto: Al seguir un enlace telefónico (“tel:”) en Mail, se marcaba un número de teléfono sin confirmación.
Descripción: Mail admitía la posibilidad de marcar números de teléfono mediante enlaces telefónicos (“tel:”). Al persuadir a un usuario para que siguiera un enlace telefónico en un mensaje de correo, un atacante podía hacer que el iPhone realizara una llamada sin la confirmación del usuario. En esta actualización se solucionó el problema, ya que se proporciona una ventana de confirmación antes de marcar un número de teléfono a través de un enlace telefónico en Mail. Quisiéramos darle las gracias a Andi Baritchi, de McAfee, por informar sobre este problema.
Safari
CVE-ID: CVE-2007-3756
Impacto: Visitar un sitio web malintencionado podía provocar la divulgación del contenido de las URL.
Descripción: Un problema de diseño de Safari permitía que una página web lea la URL que se estaba viendo en el momento en la ventana principal. Al persuadir a un usuario para que visitara una página web creada con fines malintencionados, un atacante podía obtener la URL de una página no relacionada. En esta actualización se solucionó el problema mediante una comprobación mejorada de seguridad entre dominios. Quisiéramos darles las gracias a Michal Zalewski de Google Inc. y a Secunia Research por informar de este problema.
Safari
CVE-ID: CVE-2007-3757
Impacto: Visitar un sitio web malintencionado podía provocar que se marcara un número accidentalmente o que el número marcado no fuera el esperado.
Descripción: Safari admitía la posibilidad de marcar números de teléfono mediante enlaces telefónicos (“tel:”). Al seleccionar un enlace telefónico, Safari confirmaba que se debía marcar el número. Un enlace telefónico creado con fines malintencionados podía provocar que el número que se mostraba durante la confirmación fuera diferente al que se había marcado. Salir de Safari durante el proceso de confirmación podía dar lugar a una confirmación involuntaria. En esta actualización se solucionó el problema, ya que se muestra correctamente el número que se marcará y se solicita confirmación para los enlaces telefónicos. Quisiéramos darles las gracias a Billy Hoffman y Bryan Sullivan de HP Security Labs (anteriormente SPI Labs), y a Eduardo Tang por informar sobre este problema.
Safari
CVE-ID: CVE-2007-3758
Impacto: Visitar un sitio web malintencionado podía provocar problemas relacionados con scripts entre sitios.
Descripción: Existía una vulnerabilidad de scripts entre sitios en Safari que permitía a sitios web malintencionados establecer propiedades de ventana de JavaScript en sitios web de otros dominios. Al persuadir a un usuario para que visite un sitio web creado con fines malintencionados, un atacante podía desencadenar el problema y, por lo tanto, obtener o configurar el estado de ventana y la ubicación de las páginas de otros sitios web. En esta actualización se solucionó el problema al proporcionar controles de acceso mejorados para estas propiedades. Quisiéramos darle las gracias a Michal Zalewski, de Google Inc., por informar sobre este problema.
Safari
CVE-ID: CVE-2007-3759
Impacto: La desactivación de JavaScript no se aplicaba hasta que se reiniciara Safari.
Descripción: Safari se podía configurar para activar o desactivar JavaScript. Esta preferencia no surtía efecto hasta la siguiente vez que se reiniciara Safari. Esto solía ocurrir cuando se reiniciaba el iPhone. Esto podía inducir a los usuarios a creer que JavaScript estaba desactivado cuando no lo estaba. En esta actualización se solucionó el problema mediante la aplicación de la nueva preferencia antes de cargar nuevas páginas web.
Safari
CVE-ID: CVE-2007-3760
Impacto: Visitar un sitio web malintencionado podía provocar problemas relacionados con scripts entre sitios.
Descripción: Un problema relacionado con scripts entre sitios en Safari permitía que un sitio web creado con fines malintencionados omitiera la política del mismo origen con etiquetas “marco”. Al persuadir a un usuario para que visite una página web creada con fines malintencionados, un atacante podía desencadenar el problema, lo que podía provocar la ejecución de JavaScript en el contexto de otro sitio. En esta actualización se solucionó el problema al no permitir JavaScript como fuente “iframe” y limitar JavaScript en las etiquetas “marco” al mismo acceso que el sitio del que provino. Quisiéramos darles las gracias a Michal Zalewski de Google Inc. y a Secunia Research por informar de este problema.
Safari
CVE-ID: CVE-2007-3761
Impacto: Visitar un sitio web malintencionado podía provocar problemas relacionados con scripts entre sitios.
Descripción: Un problema relacionado con scripts entre sitios en Safari provocaba la asociación de eventos de JavaScript con el marco incorrecto. Al persuadir a un usuario para que visite una página web creada con fines malintencionados, un atacante podía provocar la ejecución de JavaScript en el contexto de otro sitio. En esta actualización se solucionó el problema y los eventos de JavaScript se asocian al marco de origen correcto.
Safari
CVE-ID: CVE-2007-4671
Impacto: JavaScript en los sitios web podía acceder al contenido de los documentos entregados mediante el protocolo HTTPS o manipularlo.
Descripción: Un problema en Safari permitía que el contenido entregado mediante el protocolo HTTPS alterara el contenido o accediera a él en el mismo dominio. Al persuadir a un usuario para que visite una página web creada con fines malintencionados, un atacante podía provocar la ejecución de JavaScript en el contexto de páginas web HTTPS en ese dominio. En esta actualización se solucionó el problema al limitar el acceso entre la ejecución de JavaScript en marcos HTTP y HTTPS. Quisiéramos darle las gracias a Keigo Yamazaki de LAC Co., Ltd. (Little EARTH CORPORATION CO., LTD.) por informar sobre este problema.
Nota de instalación:
Esta actualización solo está disponible en iTunes y no aparecerá en la app Actualización de software de tu computadora ni en el sitio de descargas de Apple. Asegúrate de tener una conexión a Internet y de haber instalado la versión más reciente de iTunes de www.apple.com/la/itunes/.
ITunes comprobará automáticamente el servidor de actualizaciones de Apple semanalmente. Cuando se detecte una actualización, la descargará. Cuando iPhone se conecte, iTunes le ofrecerá al usuario la opción de instalar la actualización. Recomendamos aplicar la actualización de inmediato si es posible. Si seleccionas “No instalar”, la opción aparecerá la próxima vez que conectes el iPhone.
El proceso de actualización automática puede tardar hasta una semana, según el día en que iTunes busque actualizaciones. Puedes obtener la actualización manualmente con el botón Buscar actualización en iTunes. Después de hacer esto, la actualización se puede aplicar cuando el iPhone se conecte a la computadora.
Para comprobar que el iPhone se haya actualizado:
Ve a Configuración.
Haz clic en General
Haz clic en Información. La versión después de aplicar esta actualización será “1.1.1 (3A109a)”.