על אודות תוכן האבטחה של עדכון iPhone v1.0.1
מסמך זה מתאר את תוכן האבטחה של עדכון iPhone v1.0.1, שאפשר להוריד ולהתקין דרך iTunes כמתואר להלן.
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.
למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple."
היכן שאפשר, מזהי CVE ID משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.
כדי ללמוד על עדכוני אבטחה נוספים, עיינו בנושא "עדכוני האבטחה של Apple".
עדכון iPhone v1.0.1
Safari
CVE-ID: CVE-2007-2400
זמין עבור: iPhone v1.0
השפעה: גישה לאתר זדוני עלולה לאפשר כתיבת תסריט בין אתרים.
תיאור: דגם האבטחה של Safari מונע מ-JavaScript בדפי אינטרנט מרוחקים לשנות את הדפים שנמצאים מחוץ לדומיין שלהם. מצב מרוץ בעדכון העמודים בשילוב עם ניתוב HTTP עלולים לאפשר ל-JavaScript מעמוד אחד לשנות עמוד מנותב. הבעיה עלולה לאפשר קריאה של עוגיות ודפים או שינוי שרירותי שלהם. העדכון מטפל בבעיה על ידי תיקון בקרת הגישה למאפייני החלון. תודה ללורנס לאי (Lawrence Lai), סטן שוויצר (Stan Switzer) ואד רו (Ed Rowe) מ-Adobe Systems, Inc. על הדיווח על הבעיה.
Safari
CVE-ID: CVE-2007-3944
זמין עבור: iPhone v1.0
השפעה: הצגת עמוד אינטרנט בעל מבנה זדוני עלולה להוביל להפעלה של קוד שרירותי.
תיאור: קיימות גלישות של בפר ערימה בספריית Perl Compatible Regular Expressions (PCRE) המשמשת את מנוע JavaScript ב-Safari. על ידי פיתוי משתמש לגשת לעמוד אינטרנט בעל מבנה זדוני, תוקף עלול להפעיל את הבעיה, דבר שעלול להוביל להפעלת קוד שרירותי. העדכון מטפל בבעיה על ידי ביצוע אימות נוסף של ביטויים רגולריים של JavaScript. תודה לצ'רלי מילר (Charlie Miller) ולג'ייק הונורוף (Jake Honoroff) מ-Independent Security Evaluators על הדיווח על הבעיות.
WebCore
CVE-ID: CVE-2007-2401
זמין עבור: iPhone v1.0
השפעה: ביקור באתר זדוני עלול לאפשר בקשות בין אתרים.
תיאור: קיימת בעיה של החדרת HTTP ב-XMLHttpRequest בעת סידור הכותרות ברצף לכדי בקשת HTTP. על ידי פיתוי משתמש לבקר בעמוד אינטרנט בעל מבנה זדוני, תוקף עלול לגרום לבעיה של כתיבת תסריט בין אתרים. העדכון מטפל בבעיה על ידי ביצוע אימות נוסף של פרמטרי הכותרת. תודה לריצ'רד מור (Richard Moore) מ-Westpoint Ltd. על הדיווח על הבעיה.
WebKit
CVE-ID: CVE-2007-3742
זמין עבור: iPhone v1.0
השפעה: ניתן להשתמש בתווים דומים בכתובת URL כדי להסוות אתר אינטרנט.
תיאור: ניתן להשתמש בתמיכה של International Domain Domain (IDN) ובגופני Unicode המוטבעים ב-Safari ליצירת כתובת URL המכילה תווים דומים למראה. כתובות URL אלה יכולות לשמש באתר זדוני כדי להפנות את המשתמשים לאתר מזויף שנראה לעין כדומיין לגיטימי. העדכון מטפל בבעיה באמצעות בדיקת אימות משופר של שם הדומיין. תודה לטומוהיטו יושינו (Tomohito Yoshino) מ-Business Architects Inc. על הדיווח על הבעיה.
WebKit
CVE-ID: CVE-2007-2399
זמין עבור: iPhone v1.0
השפעה: גישה לאתר אינטרנט בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי.
תיאור: המרה מסוג לא חוקי בעת עיבוד של ערכות מסגרות עלולה להוביל להשחתת הזיכרון. גישה לעמוד אינטרנט בעל מבנה זדוני עלולה להוביל לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי. תודה לריס קיד (Rhys Kidd) מ-Westnet על הדיווח על הבעיה.
הערת התקנה
העדכון זמין דרך iTunes בלבד, ולא יופיע ביישום 'עדכון תוכנה' במחשב או באתר ההורדות של התמיכה של Apple. ודאו שיש לכם חיבור לאינטרנט ושהתקנתם את הגרסה האחרונה של iTunes מ-(www.apple.com/itunes).
iTunes בודק באופן אוטומטי את שרת העדכונים של Apple לפי לוח הזמנים השבועי. כאשר הוא מזהה עדכון, הוא יוריד אותו. כאשר ה-iPhone מונח על צידו, iTunes יציג בפני המשתמש את האפשרות להתקין את העדכון. אנחנו ממליצים להחיל את העדכון באופן מיידי במידת האפשר. בחירה באפשרות 'אל תתקין' תציג את האפשרות בפעם הבאה שתחברו את ה-iPhone. תהליך העדכון האוטומטי עשוי להימשך עד שבוע, בהתאם ליום שבו iTunes מחפש עדכונים.
ניתן לקבל את העדכון באופן ידני באמצעות המקש או הבחירה בתפריט 'חפש עדכונים' ב-iTunes. לאחר ביצוע פעולה זו, ניתן להחיל את העדכון כאשר ה-iPhone מחובר למחשב.
כדי לבדוק שה-iPhone עודכן:
נווטו אל 'הגדרות' ב-iPhone.
לחצו על 'כללי'.
לחצו על 'אודות'. לאחר החלת העדכון, הגרסה תהיה 1.0.1 (1C25).