Tietoja iOS 8.4:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 8.4:n turvallisuussisällöstä.

Apple haluaa suojella asiakkaitaan, eikä siksi paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuus -sivulla.

Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.

CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

Tietoja muista suojauspäivityksistä on Applen suojauspäivitykset -sivulla.

iOS 8.4

  • App Store

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen yleinen provisiointiprofiiliappi saattoi estää appien käynnistymisen.

    Kuvaus: Yleisten provisiointiprofiiliappien asennuslogiikassa oli ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.

    CVE-ID

    CVE-2015-3722: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) Wei

  • Varmenteiden luottamuskäytäntö

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan verkkoliikennettä.

    Kuvaus: Varmenteiden myöntäjä CNNIC myönsi välivarmenteen virheellisesti. Ongelma on ratkaistu lisäämällä mekanismi, jonka avulla voidaan luottaa vain joihinkin varmenteisiin, jotka on myönnetty ennen virheellisen välivarmenteen myöntämistä. Suojauksen osittaisen luottamuksen sallittujen luettelosta on saatavilla lisätietoja.

  • Varmenteiden luottamuskäytäntö

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Varmenteiden luottamuskäytäntö on päivitetty.

    Kuvaus: Varmenteiden luottamuskäytäntö on päivitetty. Kattava varmenneluettelo on nähtävillä iOS:n Trust Storessa.

  • CFNetwork HTTPAuthentication

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen URL-osoitteen avaaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: Joidenkin URL-tunnistetietojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3684: Apple

  • CoreGraphics

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen PDF-tiedoston avaaminen saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: ICC-profiilien käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2015-3723: HP:n Zero Day Initiativen parissa työskentelevä chaithanya (SegFault)

    CVE-2015-3724: HP:n Zero Day Initiativen WanderingGlitch

  • CoreText

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen tekstitiedoston käsittely saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: Tekstitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parannetulla rajojen tarkistamisella.

    CVE-ID

    CVE-2015-1157

    CVE-2015-3685: Apple

    CVE-2015-3686: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3687: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3688: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3689: Apple

  • coreTLS

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan SSL/TLS-yhteyksiä.

    Kuvaus: coreTLS hyväksyi lyhyitä tilapäisiä Diffie-Hellman (DH) -avaimia, joita käytetään USA:n vientirajoitusten mukaisissa tilapäisissä DH-salausohjelmistoissa. Tämä ongelma, joka tunnetaan myös nimellä Logjam, salli etuoikeutetussa verkkoasemassa olevan hyökkääjän heikentää suojausta 512-bittiseen DH-salaukseen, jos palvelin tuki USA:n vientirajoitusten mukaista tilapäistä DH-salausohjelmistoa. Ongelma on ratkaistu nostamalla tilapäisten DH-avainten oletusvähimmäiskoko 768 bittiin.

    CVE-ID

    CVE-2015-4000: weakdh.orgin weakdh-tiimi ja Hanno Boeck

  • Levytiedostot

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

    Kuvaus: Levytiedostojen käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3690: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • FontParser

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen fonttitiedoston käsittely saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: Fonttitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla annettujen tietojen tarkistamista.

    CVE-ID

    CVE-2015-3694: John Villamil (@day6reak) ja Yahoo Pentest Team

    CVE-2015-3719: John Villamil (@day6reak) ja Yahoo Pentest Team

  • ImageIO

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisen .tiff-tiedoston käsittely saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: .tiff-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla rajojen tarkistamista.

    CVE-ID

    CVE-2015-3703: Apple

  • ImageIO

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: libtiffissä oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: libtiff 4.0.4:ää edeltävissä versioissa oli useita haavoittuvuuksia. Ne on ratkaistu päivittämällä libtiff versioon 4.0.4.

    CVE-ID

    CVE-2014-8127

    CVE-2014-8128

    CVE-2014-8129

    CVE-2014-8130
     

  • Kernel

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haittaohjelma saattoi pystyä päättelemään kernel-muistin asettelun.

    Kuvaus: HFS-parametrien käsittelyssä oli muistinhallintaongelma, joka saattoi aiheuttaa kernel-muistin asettelun paljastumisen. Ongelma on ratkaistu parantamalla muistin hallintaa.

    CVE-ID

    CVE-2015-3721: Ian Beer (Google Project Zero)
  • Mail

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen sähköpostiviesti saattoi korvata viestin sisällön mielivaltaisella verkkosivulla, kun viestiä tarkasteltiin.

    Kuvaus: HTML-sähköpostin tuessa oli ongelma, joka salli viestin sisällön korvaamisen mielivaltaisella verkkosivulla. Ongelma on ratkaistu rajoittamalla HTML-sisällön tukea.

    CVE-ID

    CVE-2015-3710: vtty.comin Aaron Sigel ja Jan Souček

  • MobileInstallation

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen yleinen provisiointiprofiiliappi saattoi estää Watch-apin käynnistymisen.

    Kuvaus: Yleisten provisiointiprofiiliappien asennuslogiikassa oli Watchissa ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.

    CVE-ID

    CVE-2015-3725: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) Wei

  • Safari

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käyminen saattoi vaarantaa tiedostojärjestelmässä olevat käyttäjätiedot.

    Kuvaus: Safarissa oli tilanhallintaongelma, joka salli luvattomien alkuperien käyttää tiedostojärjestelmän sisältöä. Ongelma on ratkaistu parantamalla tilanhallintaa.

    CVE-ID

    CVE-2015-1155: HP:n Zero Day Initiativen parissa työskentelevä Rapid7 Inc:n Joe Vennix
     

  • Safari

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa tilin haltuunoton.

    Kuvaus: Safarissa oli ongelma, jossa Origin-pyyntöotsake säilyi eri alkuperien välisissä uudelleenohjauksissa, jolloin haitalliset verkkosivustot pystyivät kiertämään CSRF-suojaukset. Ongelma on ratkaistu parantamalla uudelleenohjausten käsittelyä.

    CVE-ID

    CVE-2015-3658: Facebookin Brad Hill

  • Suojaus

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: S/MIME-sähköpostin ja joidenkin muiden allekirjoitettujen tai salattujen objektien jäsentelyyn tarkoitetussa suojauskehyskoodissa oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla kelvollisuuden tarkistamista.

    CVE-ID

    CVE-2013-1741

  • SQLite

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Etähyökkääjä saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLiten printf-toteutuksessa oli useita puskurin ylivuotoja. Ongelmat on ratkaistu parannetulla rajojen tarkistamisella.

    CVE-ID

    CVE-2015-3717: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • SQLite

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen SQL-komento saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLite-toiminnallisuudessa oli API-ongelma. Ongelma on ratkaistu parantamalla rajoituksia.

    CVE-ID

    CVE-2015-7036: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • Puhelinliikenne

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitalliset SIM-kortit saattoivat aiheuttaa mielivaltaisen koodin suorittamisen.

    Kuvaus: SIM-/UIM-tietosisältöjen jäsentämisessä oli useita syötön tarkistamisongelmia. Ongelmat on ratkaistu parantamalla tietosisällön tarkistamista.

    CVE-ID

    CVE-2015-3726: Endgamen Matt Spisak

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Siirtyminen haitalliselle verkkosivustolle klikkaamalla linkkiä saattoi johtaa käyttöliittymän väärentämiseen.

    Kuvaus: Ankkurielementtien rel-määritteen käsittelyssä oli ongelma. Kohdeobjektit saattoivat saada luvattoman pääsyn linkkiobjekteihin. Ongelma on ratkaistu parantamalla linkkityyppien noudattamista.

    CVE-ID

    CVE-2015-1156: Moodlen Zachary Durber

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivustolla käynti saattoi johtaa apin odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.

    Kuvaus: WebKitissä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.

    CVE-ID

    CVE-2015-1152: Apple

    CVE-2015-1153: Apple

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallisella verkkosivulla käynti saattoi aiheuttaa apin odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.

    Kuvaus: SQLite-valtuuttajassa oli riittämättömän vertailun ongelma, joka salli mielivaltaisten SQL-funktioiden kutsumisen. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.

    CVE-ID

    CVE-2015-3659: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • WebKit

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: Haitallinen verkkosivusto saattoi päästä muiden verkkosivustojen WebSQL-tietokantoihin.

    Kuvaus: WebSQL-taulukoiden uudelleennimeämisen valtuutustarkistuksissa oli ongelma, jonka vuoksi haitallinen verkkosivusto saattoi päästä muille verkkosivustoille kuuluviin tietokantoihin. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.

    CVE-ID

    CVE-2015-3727: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar

  • Wi-Fi-liitettävyys

    Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.

    Vaikutus: iOS-laitteet saattoivat liittyä automaattisesti ei-luotettaviin tukiasemiin, jotka ilmoittivat tunnetun ESSID:n, mutta joilla oli heikennetty suojaustyyppi.

    Kuvaus: Wi-Fi-hallinnan tavassa arvioida tunnettujen tukiasemien ilmoituksia oli riittämättömän vertailun ongelma. Ongelma on ratkaistu parantamalla suojausparametrien yhteensovittamista.

    CVE-ID

    CVE-2015-3728: Carnegie Mellonin yliopiston Brian W. Gray ja TripWiren Craig Young

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: