Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Lisätietoja Applen tuoteturvallisuudesta on Applen tuoteturvallisuussivustolla.
Lisätietoja Applen tuoteturvallisuuden PGP-avaimesta on artikkelissa Applen tuoteturvallisuuden PGP-avaimen käyttäminen.
CVE ID -tunnuksia käytetään mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.
Tietoja muista suojauspäivityksistä on artikkelissa Applen suojauspäivitykset.
iOS 8.4
- App Store
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen yleinen provisiointiprofiiliohjelma saattoi estää ohjelmien käynnistymisen.
Kuvaus: Yleisten provisiointiprofiiliohjelmien asennuslogiikassa oli ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.
CVE-ID
CVE-2015-3722: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) Wei
Varmenteiden luottamuskäytäntö
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan verkkoliikennettä.
Kuvaus: Varmenteiden myöntäjä CNNIC myönsi välivarmenteen virheellisesti. Ongelma on ratkaistu lisäämällä mekanismi, jonka avulla voidaan luottaa vain joihinkin varmenteisiin, jotka on myönnetty ennen virheellisen välivarmenteen myöntämistä. Suojauksen osittaisen luottamuksen sallittujen luettelosta on saatavilla lisätietoja.
Varmenteiden luottamuskäytäntö
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Varmenteiden luottamuskäytäntö on päivitetty.
Kuvaus: Varmenteiden luottamuskäytäntö on päivitetty. Kattava varmenneluettelo on nähtävillä iOS:n Trust Storessa.
CFNetwork HTTPAuthentication
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi. Vaikutus: Haitallisen URL-osoitteen avaaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: Joidenkin URL-tunnistetietojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-ID
CVE-2015-3684: Apple
CoreGraphics
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisen PDF-tiedoston avaaminen voi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaiseen koodin suorittamiseen.
Kuvaus: ICC-profiilien käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.
CVE-ID
CVE-2015-3723: HP:n Zero Day Initiativen parissa työskentelevä chaithanya (SegFault)
CVE-2015-3724: HP:n Zero Day Initiativen WanderingGlitch
CoreText
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisen tekstitiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Tekstitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla rajojen tarkistamista.
CVE-ID
CVE-2015-1157
CVE-2015-3685: Apple
CVE-2015-3686: John Villamil (@day6reak) ja Yahoo Pentest Team
CVE-2015-3687: John Villamil (@day6reak) ja Yahoo Pentest Team
CVE-2015-3688: John Villamil (@day6reak) ja Yahoo Pentest Team
CVE-2015-3689: Apple
coreTLS
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä saattoi pystyä kaappaamaan SSL/TLS-yhteyksiä.
Kuvaus: coreTLS hyväksyi lyhyitä tilapäisiä Diffie-Hellman (DH) -avaimia, joita käytetään USA:n vientirajoitusten mukaisissa tilapäisissä DH-salausohjelmistoissa. Tämä ongelma, joka tunnetaan myös nimellä Logjam, salli etuoikeutetussa verkkoasemassa olevan hyökkääjän heikentää suojausta 512-bittiseen DH-salaukseen, jos palvelin tuki USA:n vientirajoitusten mukaista tilapäistä DH-salausohjelmistoa. Ongelma on ratkaistu nostamalla tilapäisten DH-avainten oletusvähimmäiskoko 768 bittiin.
CVE-ID
CVE-2015-4000: weakdh.orgin weakdh-tiimi ja Hanno Boeck
Levytiedostot
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen ohjelma saattoi pystyä päättelemään kernel-muistin asettelun.
Kuvaus: Levytiedostojen käsittelyssä oli tietojen paljastumiseen liittyvä ongelma. Ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-ID
CVE-2015-3690: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar
FontParser
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisen fonttitiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: Fonttitiedostojen käsittelyssä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla syötön tarkistamista.
CVE-ID
CVE-2015-3694: John Villamil (@day6reak) ja Yahoo Pentest Team
CVE-2015-3719: John Villamil (@day6reak) ja Yahoo Pentest Team
ImageIO
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisen .tiff-tiedoston käsittely saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: .tiff-tiedostojen käsittelyssä oli muistin vioittumisongelma. Ongelma on ratkaistu parantamalla rajojen tarkistamista.
CVE-ID
CVE-2015-3703: Apple
ImageIO
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: libtiffissä oli useita haavoittuvuuksia, joista vakavin saattoi aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: libtiff 4.0.4:ää edeltävissä versioissa oli useita haavoittuvuuksia. Ne on ratkaistu päivittämällä libtiff versioon 4.0.4.
CVE-ID
CVE-2014-8127
CVE-2014-8128
CVE-2014-8129
CVE-2014-8130
- Kernel
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen ohjelma saattoi pystyä päättelemään kernel-muistin asettelun.
Kuvaus: HFS-parametrien käsittelyssä oli muistinhallintaongelma, joka saattoi aiheuttaa kernel-muistin asettelun paljastumisen. Ongelma on ratkaistu parantamalla muistin hallintaa.
CVE-ID
CVE-2015-3721: Google Project Zeron Ian Beer
- Mail
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen sähköpostiviesti saattoi korvata viestin sisällön mielivaltaisella verkkosivulla, kun viestiä tarkasteltiin.
Kuvaus: HTML-sähköpostin tuessa oli ongelma, joka salli viestin sisällön korvaamisen mielivaltaisella verkkosivulla. Ongelma on ratkaistu rajoittamalla HTML-sisällön tukea.
CVE-ID
CVE-2015-3710: vtty.comin Aaron Sigel sekä Jan Souček
MobileInstallation
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen yleinen provisiointiprofiiliohjelma saattoi estää Watch-ohjelman käynnistymisen.
Kuvaus: Yleisten provisiointiprofiiliohjelmien asennuslogiikassa oli Watchissa ongelma, joka salli ristiriidan nykyisten nipputunnisteiden kanssa. Ongelma on ratkaistu parantamalla ristiriitojen tarkistamista.
CVE-ID
CVE-2015-3725: FireEye Inc:n Zhaofeng Chen, Hui Xue ja Tao (Lenx) WeiSafari
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisella verkkosivustolla käyminen saattoi vaarantaa tiedostojärjestelmässä olevat käyttäjätiedot.
Kuvaus: Safarissa oli tilanhallintaongelma, joka salli luvattomien alkuperien käyttää tiedostojärjestelmän sisältöä. Ongelma on ratkaistu parantamalla tilanhallintaa.
CVE-ID
CVE-2015-1155: HP:n Zero Day Initiativen parissa työskentelevä Rapid7 Inc:n Joe Vennix
- Safari
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisella verkkosivustolla käynti saattoi aiheuttaa tilin haltuunoton.
Kuvaus: Safarissa oli ongelma, jossa Origin-pyyntöotsake säilyi eri alkuperien välisissä uudelleenohjauksissa, jolloin haitalliset verkkosivustot pystyivät kiertämään CSRF-suojaukset. Ongelma on ratkaistu parantamalla uudelleenohjausten käsittelyä.
CVE-ID
CVE-2015-3658: Facebookin Brad Hill
Suojaus
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Etähyökkääjä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: S/MIME-sähköpostin ja joidenkin muiden allekirjoitettujen tai salattujen objektien jäsentelyyn tarkoitetussa suojauskehyskoodissa oli kokonaisluvun ylivuoto. Ongelma on ratkaistu parantamalla kelvollisuuden tarkistamista.
CVE-ID
CVE-2013-1741
SQLite
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Etähyökkääjä saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: SQLiten printf-toteutuksessa oli useita puskurin ylivuotoja. Ongelmat on ratkaistu parantamalla rajojen tarkistamista.
CVE-ID
CVE-2015-3717: HP:n Zero Day Initiativen parissa työskentelevä Peter RutenbarSQLite
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen SQL-komento saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: SQLite-toiminnallisuudessa oli API-ongelma. Ongelma on ratkaistu parantamalla rajoituksia.
CVE-ID
CVE-2015-7036: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar
Puhelinliikenne
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitalliset SIM-kortit saattoivat aiheuttaa mielivaltaisen koodin suorittamisen.
Kuvaus: SIM-/UIM-tietosisältöjen jäsentämisessä oli useita syötön tarkistamisongelmia. Ongelmat on ratkaistu parantamalla tietosisällön tarkistamista.
CVE-ID
CVE-2015-3726: Endgamen Matt Spisak
- WebKit
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Siirtyminen haitalliselle verkkosivustolle osoittamalla linkkiä saattoi johtaa käyttöliittymän väärentämiseen.
Kuvaus: Ankkurielementtien rel-määritteen käsittelyssä oli ongelma. Kohdeobjektit saattoivat saada luvattoman pääsyn linkkiobjekteihin. Ongelma on ratkaistu parantamalla linkkityyppien noudattamista.
CVE-ID
CVE-2015-1156: Moodlen Zachary Durber
WebKit
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisella verkkosivustolla käynti saattoi johtaa ohjelman odottamattomaan sulkeutumiseen tai mielivaltaisen koodin suorittamiseen.
Kuvaus: WebKitissä oli useita muistin vioittumiseen liittyviä ongelmia. Ongelmat on ratkaistu parantamalla muistin käsittelyä.
CVE-ID
CVE-2015-1152: Apple
CVE-2015-1153: Apple
WebKit
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallisella verkkosivulla käynti saattoi aiheuttaa ohjelman odottamattoman sulkeutumisen tai mielivaltaisen koodin suorittamisen.
Kuvaus: SQLite-valtuuttajassa oli riittämättömän vertailun ongelma, joka salli mielivaltaisten SQL-funktioiden kutsumisen. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.
CVE-ID
CVE-2015-3659: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar
WebKit
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: Haitallinen verkkosivusto saattoi päästä muiden verkkosivustojen WebSQL-tietokantoihin.
Kuvaus: WebSQL-taulukoiden uudelleennimeämisen valtuutustarkistuksissa oli ongelma, jonka vuoksi haitallinen verkkosivusto saattoi päästä muille verkkosivustoille kuuluviin tietokantoihin. Ongelma on ratkaistu parantamalla valtuutustarkistuksia.
CVE-ID
CVE-2015-3727: HP:n Zero Day Initiativen parissa työskentelevä Peter Rutenbar
Wi-Fi-yhteydet
Saatavuus: iPhone 4s tai uudempi, iPod touch (5. sukupolvi tai uudempi) ja iPad 2 tai uudempi.
Vaikutus: iOS-laitteet saattoivat liittyä automaattisesti ei-luotettaviin tukiasemiin, jotka ilmoittivat tunnetun ESSID:n, mutta joilla oli heikennetty suojaustyyppi.
Kuvaus: Wi-Fi-hallinnan tavassa arvioida tunnettujen tukiasemien ilmoituksia oli riittämättömän vertailun ongelma. Ongelma on ratkaistu parantamalla suojausparametrien yhteensovittamista.
CVE-ID
CVE-2015-3728: Carnegie Mellonin yliopiston Brian W. Gray ja TripWiren Craig Young