מידע על תוכן האבטחה של iTunes 10.5.1

מסמך זה מתאר את תוכן האבטחה של iTunes 10.5.1.

מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד לביצוע חקירה מלאה בנושא ולהפצת מהדורות או רכיבי Patch חיוניים. למידע נוסף בנושא אבטחת מוצר של Apple, עיינו באתר האינטרנט אבטחת מוצר של Apple.

למידע על מפתח PGP לאבטחת מוצר של Apple, עיינו בנושא "כיצד להשתמש במפתח PGP לאבטחת מוצר של Apple".

היכן שניתן, מזהי CVE משמשים כסימוכין לפגיעויות לצורך קבלת מידע נוסף.

כדי ללמוד על עדכוני אבטחה נוספים, עיינו בנושא "עדכוני אבטחה של Apple".

iTunes 10.5.1

iTunes

זמין עבור: Mac OS X v10.5 ואילך, Windows 7‏, Windows Vista‏, Windows XP SP2 ואילך

השפעה: אדם שמבצע תקיפה מסוג 'אדם בתווך' עלול להציע תוכנה שנראית כאילו מגיעה מ-Apple

תיאור: המערכת של iTunes בודקת מעת לעת אם יש עדכוני תוכנה על ידי שליחת בקשת HTTP ל-Apple. בקשה זו עלולה לגרום ל-iTunes להצביע על כך שזמין עדכון. אם תכונת 'עדכון תוכנה של Apple ל-Windows' לא מותקנת, לחיצה על הלחצן של הורדת iTunes עלולה לפתוח את כתובת ה-URL מתגובת ה-HTTP בדפדפן ברירת המחדל של המשתמש. הסיכון להתרחשות בעיה זו הופחת על ידי שימוש בחיבור מאובטח כשבודקים אם זמינים עדכונים. עבור מערכות OS X, דפדפן ברירת המחדל של המשתמש אינו בשימוש מאחר שעדכון התוכנה של Apple כלול ב-OS X, אך שינוי זה מוסיף עוד רמה של הגנה.

CVE-ID

CVE-2008-3434: ‏Francisco Amato מ-Infobyte Security Research