Tietoja iOS 8.1.3:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 8.1.3:n turvallisuussisällöstä.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustossa.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

iOS 8.1.3

  • AppleFileConduit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen afc-komento saattoi antaa pääsyn tiedostojärjestelmän suojattuihin osiin.

    Kuvaus: afc:n symbolisessa linkitysmekanismissa oli haavoittuvuus. Ongelma on ratkaistu lisäämällä polkujen tarkistuksia.

    CVE-ID

    CVE-2014-4480: TaiG Jailbreak Team

  • CoreGraphics

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen PDF-tiedoston avaaminen voi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suorittamiseen.

    Kuvaus: PDF-tiedostojen käsittelyssä oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-4481: Binamuse VRT:n Felipe Andres Manzano iSIGHT Partners GVP Programin kautta

  • dyld

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Paikallinen käyttäjä saattoi pystyä suorittamaan allekirjoittamatonta koodia.

    Kuvaus: Päällekkäisiä segmenttejä sisältävien suoritettavien Mach-O-tiedostojen käsittelyssä oli tilanhallintaongelma. Ongelma on ratkaistu parantamalla segmenttien kokojen tarkistamista.

    CVE-ID

    CVE-2014-4455: TaiG Jailbreak Team

  • FontParser

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen PDF-tiedoston avaaminen voi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suorittamiseen.

    Kuvaus: Fonttitiedostojen käsittelyssä oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-4483: Apple

  • FontParser

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen .dfont-tiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: .dfont-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-4484: HP:n Zero Day Initiativen parissa työskentelevä Gaurav Baruah

  • Foundation

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen XML-tiedoston tarkastelu saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: XML-jäsentimessä oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-4485: Apple

  • IOAcceleratorFamily

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOAcceleratorFamilyn tavassa käsitellä resurssiluetteloita oli nollaosoittimen epäviittausongelma. Ongelma on ratkaistu poistamalla tarpeeton koodi.

    CVE-ID

    CVE-2014-4486: Google Project Zeron Ian Beer

  • IOHIDFamily

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOHIDFamilyssa oli puskurin ylivuoto. Ongelma on ratkaistu parantamalla koon tarkistusta.

    CVE-ID

    CVE-2014-4487: TaiG Jailbreak Team

  • IOHIDFamily

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOHIDFamilyn tavassa käsitellä resurssijonon metadataa oli tarkistusongelma. Ongelma on ratkaistu parantamalla metadatan tarkistamista.

    CVE-ID

    CVE-2014-4488: Apple

  • IOHIDFamily

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: IOHIDFamilyn tavassa käsitellä tapahtumajonoja oli nollaosoittimen epäviittausongelma. Ongelma on ratkaistu parantamalla tarkistusta.

    CVE-ID

    CVE-2014-4489: @beist

  • iTunes Store

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Verkkosivusto saattoi pystyä ohittamaan eristyksen rajoitukset käyttämällä iTunes Storea.

    Kuvaus: Safarista iTunes Storeen ohjattujen URL-osoitteiden käsittelyssä oli ongelma, jonka vuoksi haitallinen verkkosivusto saattoi pystyä ohittamaan Safarin eristyksen rajoitukset. Ongelma on ratkaistu parantamalla iTunes Storen avaamien URL-osoitteiden suodattamista.

    CVE-ID

    CVE-2014-8840: HP:n Zero Day Initiativen parissa työskentelevä lokihardt@ASRT

  • Kerberos

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: Kerberoksen libgssapi-kirjasto palautti kontekstitunnuksen irrallisen osoittimen kera. Ongelma on ratkaistu parantamalla tilanhallintaa.

    CVE-ID

    CVE-2014-5352

  • Kernel

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitalliset tai vaarantuneet iOS-ohjelmat saattoivat pystyä selvittämään osoitteita kernelissä.

    Kuvaus: Kernel-laajennuksiin liittyvien API-ohjelmointirajapintojen käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. OSBundleMachOHeaders-avaimen sisältävissä vastauksissa saattoi olla kernel-osoitteita, jotka voivat auttaa ohittamaan osoiteavaruuden asettelun satunnaistamissuojauksen. Ongelma on korjattu vapauttamalla osoitteet ennen niiden palauttamista.

    CVE-ID

    CVE-2014-4491: @PanguTeam ja Stefan Esser

  • Kernel

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä suorittamaan mielivaltaista koodia järjestelmän käyttöoikeuksilla.

    Kuvaus: Kernelin jaetun muistin alijärjestelmässä oli ongelma, jonka vuoksi hyökkääjä pystyi kirjoittamaan vain luku -tyyppiseksi tarkoitettuun muistiin. Ongelma on ratkaistu tiukentamalla jaetun muistin käyttöoikeuksien tarkistamista.

    CVE-ID

    CVE-2014-4495: Google Project Zeron Ian Beer

  • Kernel

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitalliset tai vaarantuneet iOS-ohjelmat saattoivat pystyä selvittämään osoitteita kernelissä.

    Kuvaus: mach_port_kobject-kernelliitäntä vuosi kernel-osoitteita ja kekopermutaation arvon, mikä saattoi auttaa osoitetilan asettelun satunnaistamissuojan ohittamisessa. Ongelma on ratkaistu poistamalla mach_port_kobject-liitäntä käytöstä tuotantokonfiguraatioissa.

    CVE-ID

    CVE-2014-4496: TaiG Jailbreak Team

  • libnetcore

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen eristetty ohjelma saattoi vaarantaa networkd-daemonin.

    Kuvaus: Networkdin tavassa käsitellä prosessien välistä kommunikaatiota oli useita tyyppisekaannusongelmia. Haitallisesti muotoillun viestin lähettäminen networkdiin saattoi mahdollistaa mielivaltaisen koodin suorittamisen networkd-prosessina. Ongelma on ratkaistu parantamalla tyypin tarkistusta.

    CVE-ID

    CVE-2014-4492: Google Project Zeron Ian Beer

  • MobileInstallation

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen yrityksen allekirjoittama ohjelma saattoi saada hallintaansa laitteessa jo olevien ohjelmien paikallisen säiliön.

    Kuvaus: Ohjelman asennusprosessissa oli haavoittuvuus. Ongelma on ratkaistu estämällä yritysohjelmia ohittamasta nykyisiä ohjelmia tietyissä skenaarioissa.

    CVE-ID

    CVE-2014-4493: FireEye Inc:n Hui Xue ja Tao Wei.

  • Springboard

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Yrityksen allekirjoittamat ohjelmat saatettiin avata kysymättä luottamuksesta.

    Kuvaus: Avattaessa yrityksen allekirjoittamaa ohjelmaa oli ongelma sen selvittämisessä, milloin luottamusta kysytään. Ongelma on ratkaistu parantamalla koodin allekirjoituksen tarkistusta.

    CVE-ID

    CVE-2014-4494: FireEye Inc:n Song Jin, Hui Xue ja Tao Wei.

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallista sisältöä kehyksissä näyttävän sivuston avaaminen saattoi aiheuttaa käyttöliittymän väärentämisen.

    Kuvaus: Vierityspalkin rajojen käsittelyssä oli käyttöliittymän väärennysongelma. Ongelma on ratkaistu parantamalla rajojen tarkistusta.

    CVE-ID

    CVE-2014-4467: Jordan Milne

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Tyylisivut ladattiin eri alkuperistä, mikä saattoi aiheuttaa tietojen vuotamisen.

    Kuvaus: Img-elementissä ladattu SVG saattoi ladata CSS-tiedoston eri alkuperistä. Ongelma on ratkaistu parantamalla ulkoisten CSS-viitteiden estämistä SVG:eissä.

    CVE-ID

    CVE-2014-4465: iSEC Partnersin Rennie deGraaf

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: WebKitissä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2014-3192: cloudfuzzer

    CVE-2014-4459

    CVE-2014-4466: Apple

    CVE-2014-4468: Apple

    CVE-2014-4469: Apple

    CVE-2014-4470: Apple

    CVE-2014-4471: Apple

    CVE-2014-4472: Apple

    CVE-2014-4473: Apple

    CVE-2014-4474: Apple

    CVE-2014-4475: Apple

    CVE-2014-4476: Apple

    CVE-2014-4477: HP:n Zero Day Initiativen parissa työskentelevä lokihardt@ASRT

    CVE-2014-4479: Apple

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: