Tietoja iOS 8.4:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 8.4:n turvallisuussisällöstä.

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustolla.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.

iOS 8.4

  • App Store

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen yleinen provisiointiprofiiliohjelma saattoi estää ohjelmien käynnistymisen.

    Kuvaus: Yleisten provisiointiprofiiliohjelmien asennuslogiikassa oli ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.

    CVE-ID

    CVE-2015-3722: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) Wei
  • Varmenteiden luottamuskäytäntö

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan verkkoliikennettä.

    Kuvaus: Varmenteiden myöntäjä CNNIC myönsi välivarmenteen virheellisesti. Ongelma on ratkaistu lisäämällä mekanismi, jonka avulla voidaan luottaa vain joihinkin varmenteisiin, jotka on myönnetty ennen virheellisen välivarmenteen myöntämistä. Suojauksen osittaisen luottamuksen sallittujen luettelosta on saatavilla lisätietoja.

  • Varmenteiden luottamuskäytäntö

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Varmenteiden luottamuskäytäntö on päivitetty.

    Kuvaus: Varmenteiden luottamuskäytäntö on päivitetty. Kattava varmenneluettelo on nähtävillä iOS:n Trust Storessa.

  • CFNetwork HTTPAuthentication

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi. Vaikutus: Haitallisen URL-osoitteen avaaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: Joidenkin URL-tunnistetietojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3684: Apple

  • CoreGraphics

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen PDF-tiedoston avaaminen voi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suorittamiseen.

    Kuvaus: ICC-profiilien käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2015-3723: HP:n Zero Day Initiativen parissa työskentelevä chaithanya (SegFault)

    CVE-2015-3724: HP:n Zero Day Initiativen WanderingGlitch

  • CoreText

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen tekstitiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: Tekstitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla rajojen tarkistamista.

    CVE-ID

    CVE-2015-1157

    CVE-2015-3685: Apple

    CVE-2015-3686: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3687: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3688: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3689: Apple

  • coreTLS

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan SSL/TLS-yhteyksiä.

    Kuvaus: coreTLS hyväksyi lyhyitä tilapäisiä Diffie-Hellman (DH) -avaimia, joita käytetään USA:n vientirajoitusten mukaisissa tilapäisissä DH-salausohjelmistoissa. Tämä ongelma, joka tunnetaan myös nimellä Logjam, salli etuoikeutetussa verkkoasemassa olevan hyökkääjän heikentää suojausta 512-bittiseen DH-salaukseen, jos palvelin tuki USA:n vientirajoitusten mukaista tilapäistä DH-salausohjelmistoa. Ongelma on ratkaistu nostamalla tilapäisten DH-avainten oletusvähimmäiskoko 768 bittiin.

    CVE-ID

    CVE-2015-4000: weakdh.orgin weakdh-tiimi ja Hanno Boeck

  • Levytiedostot

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen ohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

    Kuvaus: Levytiedostojen käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3690: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • FontParser

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen fonttitiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: Fonttitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla syötön tarkistamista.

    CVE-ID

    CVE-2015-3694: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3719: John Villamil (@day6reak) ja Yahoo Pentest Team

  • ImageIO

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen .tiff-tiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: .tiff-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla rajojen tarkistamista.

    CVE-ID

    CVE-2015-3703: Apple

  • ImageIO

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: libtiffissä oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: libtiff 4.0.4:ää edeltävissä versioissa oli useita haavoittuvuuksia. Ne on ratkaistu päivittämällä libtiff versioon 4.0.4.

    CVE-ID

    CVE-2014-8127

    CVE-2014-8128

    CVE-2014-8129

    CVE-2014-8130
     

  • Kernel

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen ohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

    Kuvaus: HFS-parametrien käsittelyssä oli muistinhallintaongelma, joka saattoi aiheuttaa kernel-muistin asettelun paljastumisen. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3721: Google Project Zeron Ian Beer
  • Mail

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen sähköpostiviesti saattoi korvata viestin sisällön mielivaltaisella verkkosivulla, kun viestiä tarkasteltiin.

    Kuvaus: HTML-sähköpostin tuessa oli ongelma, joka salli viestin sisällön korvaamisen mielivaltaisella verkkosivulla. Ongelma on ratkaistu rajoittamalla HTML-sisällön tukea.

    CVE-ID

    CVE-2015-3710: vtty.comin Aaron Sigel sekä Jan Souček
  • MobileInstallation

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen yleinen provisiointiprofiiliohjelma saattoi estää Watch-ohjelman käynnistymisen.

    Kuvaus: Yleisten provisiointiprofiiliohjelmien asennuslogiikassa oli Watchissa ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.

    CVE-ID

    CVE-2015-3725: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) Wei

  • Safari

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käyminen saattoi vaarantaa tiedostojärjestelmässä olevat käyttäjätiedot.

    Kuvaus: Safarissa oli tilanhallintaongelma, joka salli luvattomien alkuperien käyttää tiedostojärjestelmän sisältöä. Ongelma on ratkaistu parantamalla tilanhallintaa.

    CVE-ID

    CVE-2015-1155: HP:n Zero Day Initiativen parissa työskentelevä Rapid7 Inc:n Joe Vennix
     

  • Safari

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa tilin haltuunoton.

    Kuvaus: Safarissa oli ongelma, jossa Origin-pyyntöotsake säilyi eri alkuperien välisissä uudelleenohjauksissa, jolloin haitalliset verkkosivustot pystyivät kiertämään CSRF-suojaukset. Ongelma on ratkaistu parantamalla uudelleenohjausten käsittelyä.

    CVE-ID

    CVE-2015-3658: Facebookin Brad Hill
  • Suojaus

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etähyökkääjä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: S/MIME-sähköpostin ja joidenkin muiden allekirjoitettujen tai salattujen objektien jäsentelyyn tarkoitetussa suojauskehyskoodissa oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla kelvollisuuden tarkistamista.

    CVE-ID

    CVE-2013-1741

  • SQLite

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etähyökkääjä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLiten printf-toteutuksessa oli useita puskurin ylivuotoja. Ongelmat on ratkaistu parantamalla rajojen tarkistamista.

    CVE-ID

    CVE-2015-3717: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • SQLite

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen SQL-komento saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLite-toiminnallisuudessa oli API-ongelma. Ongelma on ratkaistu parantamalla rajoituksia.

    CVE-ID

    CVE-2015-7036: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • Puhelinliikenne

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitalliset SIM-kortit saattoivat aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: SIM-/UIM-tietosisältöjen jäsentämisessä oli useita syötön tarkistamisongelmia. Ongelmat on ratkaistu parantamalla tietosisällön tarkistamista.

    CVE-ID

    CVE-2015-3726: Endgamen Matt Spisak

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Siirtyminen haitalliselle verkkosivustolle osoittamalla linkkiä saattoi johtaa käyttöliittymän väärentämiseen.

    Kuvaus: Ankkurielementtien rel-määritteen käsittelyssä oli ongelma. Kohdeobjektit saattoivat saada luvattoman pääsyn linkkiobjekteihin. Ongelma on ratkaistu parantamalla linkkityyppien noudattamista.

    CVE-ID

    CVE-2015-1156: Moodlen Zachary Durber
  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: WebKitissä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2015-1152: Apple

    CVE-2015-1153: Apple

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivulla käynti saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLite-valtuuttajassa oli riittämättömän vertailun ongelma, joka salli mielivaltaisten SQL-funktioiden kutsumisen. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.

    CVE-ID

    CVE-2015-3659: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen verkkosivusto saattoi päästä muiden verkkosivustojen WebSQL-tietokantoihin.

    Kuvaus: WebSQL-taulukoiden uudelleennimeämisen valtuutustarkistuksissa oli ongelma, jonka vuoksi haitallinen verkkosivusto saattoi päästä muille verkkosivustoille kuuluviin tietokantoihin. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.

    CVE-ID

    CVE-2015-3727: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • Wi-Fi-yhteydet

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: iOS-laitteet saattoivat liittyä automaattisesti ei-luotettaviin tukiasemiin, jotka ilmoittivat tunnetun ESSID:n, mutta joilla oli heikennetty suojaustyyppi.

    Kuvaus: Wi-Fi-hallinnan tavassa arvioida tunnettujen tukiasemien ilmoituksia oli riittämättömän vertailun ongelma. Ongelma on ratkaistu parantamalla suojausparametrien yhteensovittamista.

    CVE-ID

    CVE-2015-3728: Carnegie Mellonin yliopiston Brian W. Gray ja TripWiren Craig Young

Muita kuin Applen valmistamia tuotteita sekä itsenäisiä verkkosivustoja (joita Apple ei hallitse tai joita se ei ole testannut) koskevat tiedot on tarkoitettu vain tiedoksi. Apple ei suosittele tai tue niitä. Apple ei vastaa muun valmistajan verkkosivustojen tai tuotteiden valikoimasta, suorituskyvystä tai käytöstä. Apple ei vastaa muun valmistajan verkkosivuston oikeellisuudesta tai luotettavuudesta. Internetin käyttöön liittyy riskejä. Pyydä lisätietoja valmistajalta. Muut yritysten ja tuotteiden nimet saattavat olla omistajiensa tavaramerkkejä.

Julkaisupäivämäärä: