Informacije o sigurnosnom sadržaju sustava iOS 7.1.2

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 7.1.2.

Radi zaštite svojih klijenata Apple ne otkriva sigurnosne probleme, ne razgovara o njima niti ih potvrđuje do dovršetka cjelovite istrage te objavljivanja potrebnih zakrpa i izdanja. Da biste doznali više o sigurnosti Appleovih proizvoda, idite na web-mjesto Sigurnost Appleovih proizvoda.

Informacije o PGP ključu za zaštitu Appleovih proizvoda potražite u članku Korištenje PGP ključa za zaštitu Appleovih proizvoda.

Kada je moguće, slabe točke označene su CVE ID-ovima, pomoću kojih je moguće pronaći dodatne informacije.

Da biste doznali više o sigurnosnim ažuriranjima, pročitajte članak Appleova sigurnosna ažuriranja.

iOS 7.1.2

• Pravilnik o pouzdanosti certifikata

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: ažuriranje pravilnika o pouzdanosti certifikata

  Opis: ažurirao se pravilnik o pouzdanosti certifikata. Potpuni popis certifikata možete vidjeti na stranici http://support.apple.com/kb/HT5012?viewlocale=hr_HR.

• Jezgrena grafika

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: pokretanje zlonamjerne XBM datoteke moglo je uzrokovati neočekivano zatvaranje aplikacije ili arbitrarno izvršavanje koda

  Opis: u načinu obrade XBM datoteka otkriven je problem s dodjelom neograničenih stogova. Taj je problem riješen poboljšanom provjerom ograničenja.

  CVE-ID

  CVE-2014-1354: Dima Kovalenko (codedigging.com)

• Kernel

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: neka je aplikacija mogla uzrokovati neočekivano ponovno pokretanje uređaja

  Opis: dereferenca pokazivača s vrijednošću null otkrivena je u rukovanju API argumentima za IOKit. Taj je problem riješen dodatnom provjerom API argumenata za IOKit.

  CVE-ID

  CVE-2014-1355: cunzhang (Adlab, Venustech)

• launchd

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: uz sistemske ovlasti zlonamjerna aplikacija mogla je izvršiti arbitrarni kod

  Opis: u načinu na koji funkcija launchd obrađuje IPC poruke otkriveno je veliko prekoračenje međuspremnika. Taj je problem riješen poboljšanom provjerom ograničenja.

  CVE-ID

  CVE-2014-1356: Ian Beer (Google Project Zero)

• launchd

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: uz sistemske ovlasti zlonamjerna aplikacija mogla je izvršiti arbitrarni kod

  Opis: u načinu na koji funkcija launchd obrađuje poruke zapisnika otkriveno je veliko prekoračenje međuspremnika. Taj je problem riješen poboljšanom provjerom ograničenja.

  CVE-ID

  CVE-2014-1357: Ian Beer (Google Project Zero)

• launchd

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: uz sistemske ovlasti zlonamjerna aplikacija mogla je izvršiti arbitrarni kod

  Opis: u funkciji launchd otkriveno je prekoračenje cijelih brojeva. Taj je problem riješen poboljšanom provjerom ograničenja.

  CVE-ID

  CVE-2014-1358: Ian Beer (Google Project Zero)

• launchd

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: uz sistemske ovlasti zlonamjerna aplikacija mogla je izvršiti arbitrarni kod

  Opis: u funkciji launchd otkriven je podbačaj cijelih brojeva. Taj je problem riješen poboljšanom provjerom ograničenja.

  CVE-ID

  CVE-2014-1359: Ian Beer (Google Project Zero)

• Zaključavanje

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: napadač koji otuđi iOS uređaj mogao je zaobići zaključavanje aktivacije

  Opis: uređaji nisu provodili potpune provjere prilikom aktivacije, što je zlonamjernim pojedincima omogućilo djelomični zaobilazak zaključavanja aktivacije. Taj je problem riješen dodatnom klijentskom provjerom podataka primljenih s aktivacijskih poslužitelja.

  CVE-ID

  CVE-2014-1360

• Zaključani zaslon

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: napadač koji otuđi uređaj mogao je prekoračiti maksimalni broj neuspjelih pokušaja unosa lozinke

  Opis: u nekim se slučajevima nije provodilo ograničenje broja neuspjelih pokušaja unosa lozinke. Problem je riješen uvođenjem dodatnog provođenja ograničenja.

  CVE-ID

  CVE-2014-1352: mblsec

• Zaključani zaslon

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: osoba s fizičkim pristupom zaključanom uređaju mogla je pristupiti aplikaciji koja je bila pokrenuta u prednjem planu prije zaključavanja

  Opis: u načinu obrade stanja telefonije u zrakoplovnom modu otkriven je problem s upravljanjem stanjem. Problem je riješen poboljšanim stanjem upravljanja u zrakoplovnom modu.

  CVE-ID

  CVE-2014-1353

• Mail

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: s uređaja iPhone 4 bilo je moguće izdvojiti privitke maila

  Opis: zaštita podataka nije bila uključena za privitke pošte, što je napadaču s fizičkim pristupom uređaju omogućivalo njihovo čitanje. Taj je problem riješen promjenom klase enkripcije privitaka maila.

  CVE-ID

  CVE-2014-1348: Andreas Kurtz (NESO Security Labs)

• Safari

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: pristup zlonamjernom web-mjestu mogao je uzrokovati neočekivano zatvaranje aplikacije ili arbitrarno izvršavanje koda

  Opis: u načinu na koji je Safari obrađivao URL-ove koji nisu valjani otkriven je problem s korištenjem nakon oslobađanja. Taj je problem riješen poboljšanim upravljanjem memorijom.

  CVE-ID

  CVE-2014-1349: Reno Robert i Dhanesh Kizhakkinan

• Postavke

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: osoba s fizičkim pristupom uređaju mogla je bez unosa lozinke za iCloud onemogućiti opciju Nađi moj iPhone

  Opis: problem upravljanja stanjem pojavio se prilikom upravljanja stanjem opcije Nađi moj iPhone. Taj je problem riješen poboljšanim upravljanjem opcijom stanja Nađi moj iPhone.

  CVE-ID

  CVE-2014-1350

• Sigurni prijenos

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: udaljeni napadač mogao je doći do dva bajta neinicijalizirane memorije

  Opis: u načinu obrade DTLS poruka u TLS vezi postojao je problem s pristupom neinicijaliziranoj memoriji. Taj je problem riješen tako što se u DTLS vezi prihvaćaju samo DTLS poruke.

  CVE-ID

  CVE-2014-1361: Thijs Alkemade (The Adium Project)

• Siri

  Dostupno za: iPhone 4s i novije verzije, iPod touch (pete generacije) i novije verzije, iPad (treće generacije) i novije verzije

  Učinak: osoba s fizičkim pristupom uređaju mogla je pregledavati sve kontakte

  Opis: ako Siri pošalje zahtjev koji se odnosi na jedan od nekoliko kontakata, pojavit će se popis mogućih odabira i mogućnost "Više..." za prikaz cijelog popisa kontakata. Prilikom korištenja na zaključanom zaslonu Siri nije tražila lozinku za prikaz cijelog popisa kontakata. Problem je riješen tako što je sada potreban unos lozinke.

  CVE-ID

  CVE-2014-1351: Sherif Hashim

• WebKit

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: pristup zlonamjernom web-mjestu mogao je uzrokovati neočekivano zatvaranje aplikacije ili arbitrarno izvršavanje koda

  Opis: u WebKitu je otkriven veći broj problema s neispravnom memorijom. Ti su problemi riješeni poboljšanim rukovanjem memorijom.

  CVE-ID

  CVE-2013-2875: miaubiz

  CVE-2013-2927: cloudfuzzer

  CVE-2014-1323: banty

  CVE-2014-1325: Apple

  CVE-2014-1326: Apple

  CVE-2014-1327: tim za sigurnost preglednika Google Chrome, Apple

  CVE-2014-1329: tim za sigurnost preglednika Google Chrome

  CVE-2014-1330: tim za sigurnost preglednika Google Chrome

  CVE-2014-1331: cloudfuzzer

  CVE-2014-1333: tim za sigurnost preglednika Google Chrome

  CVE-2014-1334: Apple

  CVE-2014-1335: tim za sigurnost preglednika Google Chrome

  CVE-2014-1336: Apple

  CVE-2014-1337: Apple

  CVE-2014-1338: tim za sigurnost preglednika Google Chrome

  CVE-2014-1339: Atte Kettunen (OUSPG)

  CVE-2014-1341: tim za sigurnost preglednika Google Chrome

  CVE-2014-1342: Apple

  CVE-2014-1343: tim za sigurnost preglednika Google Chrome

  CVE-2014-1362: Apple, miaubiz

  CVE-2014-1363: Apple

  CVE-2014-1364: Apple

  CVE-2014-1365: Apple, tim za sigurnost preglednika Google Chrome

  CVE-2014-1366: Apple

  CVE-2014-1367: Apple

  CVE-2014-1368: Wushi iz tima Keen (istraživački tim Keen Cloud Tech)

  CVE-2014-1382: Renata Hodovan (Sveučilište Szeged/Samsung Electronics)

  CVE-2014-1731: anonimni član razvojne zajednice Blink

• WebKit

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: zlonamjerno web-mjesto moglo je slati poruke povezanom okviru ili prozoru i na taj način zaobići primateljevu provjeru podrijetla

  Opis: u načinu obrade Unicode znakova u URL-ovima otkriven je problem s kodiranjem. Zlonamjerni URL mogao je dovesti do slanja netočnog podrijetla značajke postMessage. Problem je riješen poboljšanim kodiranjem/dekodiranjem.

  CVE-ID

  CVE-2014-1346: Erling Ellingsen (Facebook)

• WebKit

  Dostupno za: iPhone 4 i novije verzije, iPod touch (pete generacije) i novije verzije, iPad 2 i novije verzije

  Učinak: zlonamjerno web-mjesto moglo je lažirati svoj naziv domene na adresnoj traci

  Opis: u načinu obrade URL-ova otkriven je problem s lažiranjem. Problem je riješen poboljšanim kodiranjem URL-ova.

  CVE-ID

  CVE-2014-1345: Erling Ellingsen (Facebook)