Tietoja iOS 10.1:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 10.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

iOS 10.1

AppleMobileFileIntegrity

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Allekirjoitettu suoritettava tiedosto saattoi korvata koodia samalla ryhmätunnuksella.

Kuvaus: Koodiallekirjoitusten käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu lisäämällä tarkistusta.

CVE-2016-7584: Mark Mentovai ja Boris Vidolov (Google Inc.)

CFNetwork-välipalvelimet

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä vuotamaan arkaluontoisia käyttäjätietoja.

Kuvaus: Välipalvelimen tunnistetietojen käsittelyssä ilmeni tietojenkalasteluongelma. Ongelma korjattiin poistamalla pyytämättömät välipalvelimen salasanan vahvistuskehotukset.

CVE-2016-7579: Jerry Decime

Yhteystiedot

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Ohjelma voi jatkaa Osoitekirjan käyttöä, vaikka käyttöoikeus olisi kumottu Asetuksissa.

Kuvaus: Osoitekirjan käytön valvontaan liittyvä ongelma ratkaistiin parantamalla tiedostolinkin tarkistusta.

CVE-2016-4686: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

CoreGraphics

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen JPEG-tiedoston katsominen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2016-4673: Marco Grassi (@marcograss) (KeenLab) (@keen_lab), Tencent

FaceTime

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi saada välitetyn puhelun jatkamaan äänen lähettämistä, vaikka näytti, että puhelu oli jo päättynyt.

Kuvaus: Välitettyjen puheluiden käsittelyyn liittyi käyttöliittymän ristiriitaisuuksia. Ongelmat on ratkaistu parantamalla protokollalogiikkaa.

CVE-2016-7577: Martin Vigo (@martin_vigo) (salesforce.com)

FontParser

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen fontin jäsentäminen saattaa paljastaa arkaluonteisia käyttäjätietoja.

Kuvaus: Rajojen ulkopuolisen muistin luku on ratkaistu parantamalla rajojen tarkistusta.

CVE-2016-4660: Ke Liu (Tencentin Xuanwu Lab)

FontParser

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen fonttitiedoston käsitteleminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Fonttitiedostojen käsittelyssä oli puskurin ylivuoto. Ongelma ratkaistiin parantamalla rajojen tarkistusta.

CVE-2016-4688: Simon Huang (Alipay), thelongestusernameofall@gmail.com

IDS – yhdistettävyys

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Etuoikeutetussa verkkoasemassa oleva hyökkääjä saattoi pystyä hämäämään ryhmäpuhelun osallistujaa luulemaan, että tämä puhuu keskustelukumppanille.

Kuvaus: Puhelunkytkennän käsittelyssä oli tekeytymiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla puhelunkytkennän ilmoitusten käsittelyä.

CVE-2016-4721: Martin Vigo (@martin_vigo) (salesforce.com)

iTunes-varmuuskopiointi

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Salattuun iTunes-varmuuskopioon käsiksi päässyt hyökkääjä saattoi pystyä määrittämään varmuuskopion salasanan.

Kuvaus: Salattujen iTunes-varmuuskopioiden käsittelyssä esiintyi salasanan hajautukseen liittyvä ongelma. Ongelma on ratkaistu poistamalla heikko salasana.

CVE-2016-4685: Elcomsoft

Kernel

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Paikallinen käyttäjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen kernelissä.

Kuvaus: MIG-generoidussa koodissa ilmeni useita syötön vahvistuksen ongelmia. Ongelmat on ratkaistu parantamalla tarkistamista.

CVE-2016-4669: Ian Beer (Google Project Zero)

Kernel

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Ohjelma saattoi pystyä paljastamaan kernel-muistin sisältöä.

Kuvaus: Varmistusongelma ratkaistiin parantamalla annettujen tietojen puhdistamista.

CVE-2016-4680: Max Bazaliy (Lookout) ja in7egral

Kernel

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Paikallinen ohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

Kuvaus: Uusien prosessien luonnissa esiintyi useita objektien elinkaareen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla tarkistusta.

CVE-2016-7613: Ian Beer (Google Project Zero)

libarchive

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallinen arkisto saattoi pystyä korvaamaan mielivaltaisia tiedostoja.

Kuvaus: Symbolisten linkkien polun validointilogiikassa oli ongelma. Ongelma on ratkaistu parantamalla polkujen siivoamista.

CVE-2016-4679: Omer Medan (enSilo Ltd)

libxpc

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Ohjelma saattoi pystyä suorittamaan mielivaltaista koodia pääkäyttöoikeuksilla.

Kuvaus: Logiikkaongelma korjattiin lisäämällä rajoituksia.

CVE-2016-4675: Ian Beer (Google Project Zero)

Safari

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallinen verkkosivusto saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Palvelunesto-ongelma on ratkaistu parantamalla URL-osoitteiden käsittelyä.

CVE-2016-7581: Sabri Haddouche (@pwnsdx)

Eristysprofiilit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Ohjelma saattoi pystyä noutamaan kuvahakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4664: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Eristysprofiilit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Ohjelma saattoi pystyä noutamaan äänitallennehakemistojen metadataa.

Kuvaus: Käyttöoikeusongelma korjattiin lisäämällä eristämisrajoituksia muiden valmistajien ohjelmille.

CVE-2016-4665: Razvan Deaconescu, Mihai Chiroiu (University POLITEHNICA of Bucharest); Luke Deshotels, William Enck (North Carolina State University); Lucas Vincenzo Davi, Ahmad-Reza Sadeghi (TU Darmstadt)

Suojaus

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Paikallinen hyökkääjä saattoi nähdä kirjautumissalasanan pituuden, kun käyttäjä kirjautui sisään.

Kuvaus: Salasanojen käsittelyssä ilmeni kirjaamisongelma. Ongelma korjattiin poistamalla salasanojen pituuden kirjaaminen.

CVE-2016-4670: Daniel Jalkut (Red Sweater Software)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia ratkaistiin parantamalla muistin käsittelyä.

CVE-2016-4666: Apple

CVE-2016-4677: Trend Micron Zero Day Initiativen parissa työskentelevä nimetön tutkija

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) sekä iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia ratkaistiin parantamalla muistin käsittelyä.

CVE-2016-7578: Apple