אודות תוכן האבטחה של עדכון iPhone 1.1.1

מסמך זה מתאר את תוכן האבטחה של עדכון iPhone גרסה 1.1.1.

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר אבטחת מוצר של Apple.

למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא "כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple."

היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.

כדי ללמוד על עדכוני אבטחה אחרים, עיינו בנושא "עדכוני אבטחה של Apple".

עדכון iPhone גרסה 1.1.1

Bluetooth

מזהה CVE‏: CVE-2007-3753

השפעה: תוקף בטווח של ה-Bluetooth עלול להצליח לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי.

תיאור: קיימת בעיית אימות קלט בשרת Bluetooth של ה-iPhone. על ידי שליחת מנות נתונים של Service Discovery Protocol (SDP) בעלות מבנה זדוני ל-iPhone כאשר Bluetooth מופעל, תוקף עלול לגרום לבעיה, מה שעלול להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי. עדכון זה מטפל בבעיה על ידי ביצוע אימות נוסף של מנות SDP. תודה לקווין מהאפיי ולג'ון הרינג מ-Flexilis Mobile Security על דיווח הבעיה.

Mail

מזהה CVE‏: CVE-2007-3754

השפעה: בדיקת דוא"ל ברשתות לא מהימנות עלולה להוביל לחשיפת מידע באמצעות 'התקפת אדם בתווך'.

תיאור: כאשר 'דואר' מוגדר לשימוש ב-SSL עבור חיבורים נכנסים ויוצאים, הוא אינו מזהיר את המשתמש כאשר זהותו של שרת הדואר השתנתה או כאשר לא ניתן לתת בו אמון. תוקף שמסוגל ליירט את החיבור עלול להצליח להתחזות לשרת הדואר של המשתמש ולהשיג את אישורי הדוא"ל של המשתמש או מידע רגיש אחר. עדכון זה מטפל בבעיה על ידי אזהרה נכונה כאשר הזהות של שרת הדואר המרוחק השתנתה.

Mail

מזהה CVE‏: CVE-2007-3755

השפעה: מעקב אחר קישור טלפון ("tel:‎") ב'דואר' יגרום לחיוג מספר טלפון ללא אישור.

תיאור: 'דואר' תומך בקישורי טלפון ("tel:‎") לחיוג מספרי טלפון. על ידי פיתוי משתמש להקליק על קישור טלפון בהודעת דואר, תוקף עלול לגרום ל-iPhone לבצע שיחה ללא אישור משתמש. עדכון זה מטפל בבעיה על ידי מתן חלון אישור לפני חיוג מספר טלפון דרך קישור טלפון ב'דואר'. תודה לאנדי בריטצ'י מ-McAfee על דיווח הבעיה.

Safari

מזהה CVE‏: CVE-2007-3756

השפעה: ביקור באתר זדוני עלול להוביל לחשיפה של תוכן כתובת URL.

תיאור: בעיית עיצוב ב-Safari מאפשרת לדף אינטרנט לקרוא את כתובת ה-URL המוצגת כעת בחלון ההורה שלו. על ידי פיתוי משתמש לבקר בדף אינטרנט בעל מבנה זדוני, התוקף עלול להצליח להשיג את כתובת ה-URL של דף שאינו קשור. עדכון זה מטפל בבעיה באמצעות בדיקת אבטחה משופרת בין הדומיינים. תודה למיכל זלבסקי מ-Google Inc.‎ ול-Secunia Research על דיווח הבעיה.

Safari

מזהה CVE‏: CVE-2007-3757

השפעה: ביקור באתר זדוני עלול להוביל לחיוג לא מכוון או לחיוג למספר שונה מהצפוי.

תיאור: Safari תומך בקישורי טלפון ("tel:‎") לחיוג מספרי טלפון. כאשר נבחר קישור טלפון, Safari יאשר שיש לחייג את המספר. קישור טלפון בעל מבנה זדוני עלול לגרום להצגת מספר אחר במהלך האישור לעומת הקישור שחייגתם בפועל. יציאה מ-Safari במהלך תהליך האישור עלולה להוביל לאישור לא מכוון. עדכון זה מטפל בבעיה על ידי הצגה נכונה של המספר שיחויג בנוסף לדרישת אישור לקישורי טלפון. תודה לבילי הופמן ולבריאן סאליבן מ-HP Security Labs (לשעבר SPI Labs) ולאדוארדו טאנג על דיווח הבעיה.

Safari

מזהה CVE‏: CVE-2007-3758

השפעה: ביקור באתר אינטרנט זדוני עלול להוביל ל-Scripting בין אתרים.

תיאור: קיימת ב-Safari פגיעות של Scripting בין אתרים, המאפשרת לאתרים זדוניים להגדיר מאפייני חלונות של JavaScript של אתרים שנשלחו מדומיין אחר. על ידי פיתוי של משתמש לבקר באתר בעל מבנה זדוני, תוקף יכול להפעיל את הבעיה, וכתוצאה מכך לקבל או להגדיר את מצב החלון ואת המיקום של הדפים שנשלחו מאתרים אחרים. עדכון זה מטפל בבעיה על ידי מתן בקרות גישה משופרות במאפיינים אלה. תודה למיכל זלבסקי מ-Google Inc.‎ על דיווח הבעיה.

Safari

מזהה CVE‏: CVE-2007-3759

השפעה: השבתת JavaScript לא תיכנס לתוקף עד להפעלת Safari מחדש.

תיאור: ניתן להגדיר את Safari כדי להפעיל או להשבית את JavaScript. העדפה זו לא תיכנס לתוקף עד הפעם הבאה שבה Safari יופעל מחדש. מצב זה מתרחש בדרך כלל כאשר ה-iPhone מופעל מחדש. זה עלול לגרום למשתמשים להאמין ש-JavaScript מושבת כאשר למעשה הוא לא. עדכון זה מטפל בבעיה על ידי החלת ההעדפה החדשה לפני טעינת דפי אינטרנט חדשים.

Safari

מזהה CVE‏: CVE-2007-3760

השפעה: ביקור באתר אינטרנט זדוני עלול לגרום ל-Scripting בין אתרים.

תיאור: בעיית Scripting בין אתרים ב-Safari מאפשרת לאתר בעל מבנה זדוני לעקוף את מדיניות 'אותו המקור' באמצעות תגי 'מסגרת'. על ידי פיתוי של משתמש לבקר בדף אינטרנט בעל מבנה זדוני, תוקף יכול להפעיל את הבעיה, מה שעלול להוביל להפעלת JavaScript בהקשר של אתר אחר. עדכון זה מטפל בבעיה בכך שהוא מונע שימוש ב-JavaScript כמקור "iframe" ומגביל את השימוש ב-JavaScript בתגי מסגרת לאותה גישה של האתר שממנו הוא נשלח. תודה למיכל זלבסקי מ-Google Inc.‎ ול-Secunia Research על דיווח הבעיה.

Safari

מזהה CVE‏: CVE-2007-3761

השפעה: ביקור באתר אינטרנט זדוני עלול להסתיים ב-Scripting בין אתרים.

תיאור: בעיית Scripting בין אתרים ב-Safari מאפשרת לשייך אירועי JavaScript למסגרת הלא נכונה. על ידי פיתוי של משתמש לבקר בדף אינטרנט בעל מבנה זדוני, תוקף עלול לגרום להפעלת JavaScript בהקשר של אתר אחר. עדכון זה מטפל בבעיה על ידי שיוך אירועי JavaScript למסגרת המקור הנכונה.

Safari

מזהה CVE‏: CVE-2007-4671

השפעה: JavaScript באתרי אינטרנט עשוי לגשת לתוכני המסמכים המוגשים ב-HTTPS או לבצע בהם מניפולציה.

תיאור: בעיה ב-Safari מאפשרת לתוכן שהוגש באמצעות HTTP לשנות תוכן או לגשת לתוכן שנשלח באמצעות HTTPS באותו דומיין. על ידי פיתוי משתמש לבקר בדף אינטרנט בעל מבנה זדוני, תוקף עלול לגרום להפעלת JavaScript בהקשר של עמודי אינטרנט מסוג HTTPS באותו דומיין. עדכון זה מטפל בבעיה על ידי הגבלת הגישה בין הפעלה של JavaScript במסגרות HTTP ו-HTTPS. קרדיט לקייגו יאמאזקי מ-LAC Co., Ltd.‎ ‏(Little eArth Corporation Co., Ltd.‎) על דיווח הבעיה.

הערת התקנה:

עדכון זה זמין רק דרך iTunes, והוא לא יופיע ביישום 'עדכוני תוכנה' של המחשב, או באתר ההורדות של Apple. ודאו שיש לכם חיבור לאינטרנט ושהתקנתם את הגרסה האחרונה של iTunes מ-www.apple.com/itunes.

iTunes יבדוק באופן אוטומטי את שרת העדכונים של Apple לפי לוח הזמנים השבועי שלו. כאשר יזוהה עדכון, הוא יוריד אותו. כאשר ה-iPhone מחובר למחשב, iTunes יציג למשתמש את האפשרות להתקין את העדכון. מומלץ להחיל את העדכון באופן מיידי, במידת האפשר. בחירה באפשרות 'אל תתקין' תציג את האפשרות בפעם הבאה שתחברו את ה-iPhone.

תהליך העדכון האוטומטי עשוי להימשך עד שבוע, בהתאם ליום שבו iTunes בודק אם יש עדכונים. ניתן להשיג את העדכון באופן ידני באמצעות הלחצן 'חפש עדכון' ב-iTunes. לאחר ביצוע פעולה זו, ניתן להחיל את העדכון כאשר ה-iPhone מחובר למחשב.

כדי לוודא שה-iPhone עודכן:

1. נווטו אל 'הגדרות'

2. הקליקו על 'כללי'

3. הקליקו על 'אודות'. הגרסה לאחר החלת עדכון זה תהיה "‎1.1.1 (3A109a)‎".