Tietoja Xcode 7.0:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan Xcode 7.0:n turvallisuussisällöstä.

Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE-tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

Xcode 7.0

• DevTools

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: hyökkääjä saattoi pystyä ohittamaan käyttöoikeusrajoitukset.

  Kuvaus: Apache-määrityksessä oli API-ongelma. Ongelma on ratkaistu päivittämällä otsaketiedostot käyttämään uusinta versiota.

  CVE-ID

  CVE-2015-3185: Branko Äibej (Apache Software Foundation)

• IDE Xcode Server

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: hyökkääjä saattoi pystyä pääsemään tiedostojärjestelmän rajoitettuihin osiin.

  Kuvaus: Node.js-lähetysmoduulissa oli vertailuongelma ennen versiota 0.8.4. Ongelma on ratkaistu päivittämällä versioon 0.12.3.

  CVE-ID

  CVE-2014-6394: Ilya Kantor

• IDE Xcode Server

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: OpenSSL:ssä oli useita haavoittuvuuksia.

  Kuvaus: Node.js:n OpenSSL-moduulissa oli useita haavoittuvuuksia ennen versiota 1.0.1j. Ongelmat on ratkaistu päivittämällä OpenSSL versioon 1.0.1j.

  CVE-ID

  CVE-2014-3513

  CVE-2014-3566

  CVE-2014-3567

  CVE-2014-3568

• IDE Xcode Server

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä tarkkailemaan Xcode Serverin liikennettä.

  Kuvaus: Xcode Server ‑yhteydet saatettiin muodostaa ilman salausta. Ongelma on ratkaistu parantamalla verkkoyhteyslogiikkaa.

  CVE-ID

  CVE-2015-5910: nimetön tutkija

• IDE Xcode Server

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: versioilmoituksia saatettiin lähettää muille kuin tarkoitetuille vastaanottajille.

  Kuvaus: Tietovaraston sähköpostiluetteloissa oli käyttöoikeusongelma. Ongelma on ratkaistu parantamalla validointia.

  CVE-ID

  CVE-2015-5909: Daniel Tomlinson (Rocket Apps), David Gatwood (Anchorfree)

• subversion

  Saatavuus: OS X Yosemite 10.10.4 ja uudemmat

  Vaikutus: versiota 1.7.19 edeltäneissä svn-versioissa oli useita haavoittuvuuksia.

  Kuvaus: Versiota 1.7.19 edeltäneissä svn-versioissa oli useita haavoittuvuuksia. Ongelmat on ratkaistu päivittämällä svn versioon 1.7.20.

  CVE-ID

  CVE-2015-0248

  CVE-2015-0251