Tietoja iOS 10.2.1:n turvallisuussisällöstä.

Tässä asiakirjassa kerrotaan iOS 10.2.1:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut on listattu Applen suojauspäivitykset -sivulla.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta. Voit salata Applen kanssa käydyt keskustelut käyttämällä Applen tuoteturvallisuuden PGP-avainta.

Apple käyttää CVE-ID-tunnuksia mahdollisuuksien mukaan viittaamaan lisätietoihin haavoittuvuuksista.

iOS 10.2.1

APNS-palvelin

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Etuoikeutetussa verkkoasemassa ollut hyökkääjä pystyi seuraamaan käyttäjän toimintaa.

Kuvaus: Asiakasvarmenne lähetettiin salaamattomana. Ongelma on ratkaistu parantamalla varmenteiden käsittelyä.

CVE-2017-2383: Matthias Wachs ja Quirin Scheitle (Technical University Munich (TUM))

Puheluhistoria

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: CallKit-puheluhistorian päivitykset lähetettiin iCloudiin.

Kuvaus: CallKit-puheluhistorian iCloud-latauksen estämisessä oli ongelma. Ongelma on ratkaistu parantamalla logiikkaa.

CVE-2017-2375: Elcomsoft

Yhteystiedot

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen yhteystietokortin käsitteleminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: Yhteystietokorttien jäsennyksessä ilmeni annettujen tietojen tarkistusongelma. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2017-2368: Vincent Desmurs (vincedes3)

Kernel

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2017-2370: Ian Beer (Google Project Zero)

Kernel

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Vapaan tilan jälkeisen käytön ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2017-2360: Ian Beer (Google Project Zero)

libarchive

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen arkiston purkaminen saattoi aiheuttaa mielivaltaisen koodin suorittamisen.

Kuvaus: Puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2016-8687: Agostino Sarubbo (Gentoo)

Lukituksen avaaminen iPhonella

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Apple Watch -lukitus saattaa aueta, kun laite ei ole käyttäjän ranteessa.

Kuvaus: Logiikkaongelma on korjattu parantamalla tilanhallintaa.

CVE-2017-2352: Ashley Fernandez (raptAware Pty Ltd)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: Prototyypin käyttöoikeusongelma on ratkaistu parantamalla poikkeusten käsittelyä.

CVE-2017-2350: Gareth Heyes (Portswigger Web Security)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla muistin käsittelyä.

CVE-2017-2354: Trend Micron Zero Day Initiativen parissa työskentelevä Neymar (Tencentin Xuanwu Lab) (tencent.com)

CVE-2017-2362: Ivan Fratric (Google Project Zero)

CVE-2017-2373: Ivan Fratric (Google Project Zero)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Muistin alustamisongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2017-2355: Team Pangu ja lokihardt PwnFest 2016 -tapahtumassa

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen.

Kuvaus: Useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2017-2356: Team Pangu ja lokihardt PwnFest 2016 -tapahtumassa

CVE-2017-2369: Ivan Fratric (Google Project Zero)

CVE-2017-2366: Kai Kang (Tencentin Xuanwu Lab) (tencent.com)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: Sivujen lataamisen käsittelyssä oli vahvistusongelma. Ongelma on ratkaistu parantamalla logiikkaa.

CVE-2017-2363: lokihardt (Google Project Zero)

CVE-2017-2364: lokihardt (Google Project Zero)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallinen verkkosivusto saattoi avata ponnahdusikkunoita.

Kuvaus: Ponnahdusikkunoiden estämisen käsittelyssä oli ongelma. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2017-2371: lokihardt (Google Project Zero)

WebKit

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi vuotaa tietoja eri alkuperien kesken.

Kuvaus: Muuttujien käsittelyssä oli tarkistusongelma. Ongelma on ratkaistu parantamalla validointia.

CVE-2017-2365: lokihardt (Google Project Zero)

Wi-Fi

Saatavuus: iPhone 5 ja uudemmat, iPad (4. sukupolvi ja uudemmat) ja iPod touch (6. sukupolvi ja uudemmat).

Vaikutus: Aktivointilukittu laite saatettiin manipuloida näyttämään Koti-valikko lyhyesti.

Kuvaus: Käyttäjän syöttämien tietojen käsittelyssä oli ongelma, jonka takia laite näytti Koti-valikon, vaikka aktivointilukitus oli käytössä. Ongelma on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2017-2351: Hemanth Joseph, Sriram (@Sri_Hxor) (Primefort Pvt. Ltd.), Mohamd Imran

Kiitokset

Webkitin vahvistaminen

Kiitos Ben Grasille, Kaveh Razaville, Erik Bosmanille, Herbert Bosille ja Cristiano Giuffridalle (vusec group, Vrije Universiteit Amsterdam) heidän avustaan.