Az iPhone 1.1.1-es frissítésének biztonsági változásjegyzéke
Ez a dokumentum az iPhone 1.1.1-es frissítésének biztonsági változásjegyzékét ismerteti.
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma teljes körű kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. Az Apple-termékekkel kapcsolatos biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
Az Apple termékbiztonsági PGP-kulcsáról „Az Apple termékbiztonsági PGP-kulcs használata” című cikkben talál bővebb információt.
Ahol csak lehetséges, a cikk a CVE-azonosítójuk alapján hivatkozik az egyes biztonsági résekre.
Az egyéb biztonsági frissítésekről az „Apple biztonsági frissítései” című cikkben olvashat.
Az iPhone 1.1.1-es frissítése
Bluetooth
CVE-azonosító: CVE-2007-3753
Érintett terület: A Bluetooth-hatókörön belüli támadók váratlan alkalmazásleállást vagy tetszőleges kódvégrehajtást tudtak előidézni.
Leírás: Beviteli ellenőrzéssel kapcsolatos probléma merülhetett fel az iPhone Bluetooth-szerverén. Ha ártó szándékkal létrehozott, szolgáltatásfelderítési protokollt (SDP) használó csomagokat küldtek egy olyan iPhone-nak, amelyen engedélyezve volt a Bluetooth, a támadó előidézhetett egy olyan hibát, amely váratlan alkalmazásleálláshoz vagy tetszőleges programkód végrehajtásához vezethetett. Ez a frissítés az SDP-csomagok további ellenőrzésével hárítja el a problémát. Köszönjük Kevin Mahaffey-nek és John Heringnek (Flexilis Mobile Security) a probléma jelentését.
CVE-azonosító: CVE-2007-3754
Érintett terület: Az e-mailek nem megbízható hálózatokon keresztüli lekérése egy közbeékelődéses (man-in-the-middle) támadáson keresztül információ-közzétételhez vezethetett.
Leírás: Ha a Mail úgy volt beállítva, hogy SSL-t használjon a bejövő és kimenő kapcsolatokhoz, akkor nem figyelmeztette a felhasználót, ha a levelezőszerver identitása megváltozott vagy nem volt megbízható. Előfordulhatott, hogy a kapcsolatot lehallgató támadó megszemélyesíthette a felhasználó levelezőszerverét, és megszerezhette a felhasználó levelezési hitelesítő adatait vagy egyéb bizalmas adatait. Ez a frissítés a távoli levelezőszerver identitásának megváltozására vonatkozó megfelelő figyelmeztetés megjelenítésével hárítja el a problémát.
CVE-azonosító: CVE-2007-3755
Érintett terület: A Mail telefonos („tel:”) hivatkozására koppintva a telefonszám tárcsázása megerősítés kérése nélkül végbement.
Leírás: A Mail támogatja a telefonszámok tárcsázására mutató telefonos hivatkozásokat („tel:”). Ha a felhasználót arra buzdította a támadó, hogy az e-mailben található telefonos hivatkozásra koppintson, a felhasználó jóváhagyása nélkül kezdeményezhetett az iPhone-on hívásokat. Ez a frissítés egy megerősítést kérő ablak megjelenítésével hárítja el a problémát, még mielőtt tárcsázna egy telefonszámot a Mail telefonos hivatkozásain keresztül. Köszönjük Andi Baritchinek (McAfee) a probléma jelentését.
Safari
CVE-azonosító: CVE-2007-3756
Érintett terület: A rosszindulatú webhelyek meglátogatása URL-tartalmak közzétételéhez vezethetett.
Leírás: A Safariban egy tervezési hiba miatt a weboldalak olvasni tudták a szülőablakban éppen megtekintett URL-címet. Ha egy támadó rávette a felhasználót egy ártó szándékkal létrehozott weboldal meglátogatására, meg tudta szerezni egy attól független oldal URL-címét. Ez a frissítés egy továbbfejlesztett tartományok közötti biztonsági ellenőrzés bevezetésével hárítja el a problémát. Köszönjük Michal Zalewskinek (Google Inc.) és a Secunia Researchnek a probléma jelentését.
Safari
CVE-azonosító: CVE-2007-3757
Érintett terület: A rosszindulatú webhelyek meglátogatása nem várt tárcsázást vagy a várttól eltérő szám tárcsázását eredményezhette.
Leírás: A Safari támogatja a telefonszámok tárcsázására szolgáló telefonos hivatkozásokat („tel:”). A telefonos hivatkozás kiválasztásakor a Safari megerősítést kér a telefonszám tárcsázása előtt. Az ártó szándékkal létrehozott telefonos hivatkozások hatására a megerősítés során egy másik szám jelenhetett meg, mint a ténylegesen tárcsázott szám. Ha a megerősítési folyamat során kiléptek a Safariból, az nem szándékos megerősítést eredményezhetett. Ez a frissítés azzal küszöböli ki a problémát, hogy megfelelően jeleníti meg a tárcsázandó számot, és megerősítést kér a telefonos hivatkozásokhoz. Köszönjük Billy Hoffmannek és Bryan Sullivannek (HP Security Labs (korábban SPI Labs)) és Eduardo Tangnek a probléma jelentését.
Safari
CVE-azonosító: CVE-2007-3758
Érintett terület: A rosszindulatú webhelyek meglátogatása webhelyek közötti szkripteléshez vezethetett.
Leírás: A Safariban létezett egy webhelyek közötti szkriptelési biztonsági rés, amely lehetővé tette a rosszindulatú webhelyek számára, hogy másik tartományból kiszolgált webhelyek JavaScript-ablaktulajdonságait állítsák be. Ha egy támadó rávette a felhasználót, hogy felkeressen egy ártó szándékkal létrehozott webhelyet, a támadó előidézhette ezt a problémát, ami más webhelyekről kiszolgált oldalak ablakállapotának és helyének lekéréséhez vagy beállításához vezethetett. Ez a frissítés az említett tulajdonságokhoz való hozzáférés hatékonyabb vezérlésével hárítja el a problémát. Köszönjük Michal Zalewskinek (Google Inc.) a probléma jelentését.
Safari
CVE-azonosító: CVE-2007-3759
Érintett terület: A JavaScript letiltása a Safari újraindításáig nem lépett érvénybe.
Leírás: A Safariban engedélyezhető vagy letiltható a JavaScript. Ez a beállítás a Safari következő újraindításakor lépett érvénybe. Ez általában akkor fordul elő, amikor az iPhone-t is újraindítják. Ez félrevezető lehetett a felhasználóknak, mivel akkor is úgy gondolhatták, hogy a JavaScript le van tiltva, amikor ez nem így volt. Ez a frissítés az új beállítás az új weboldalak betöltését megelőző alkalmazásával küszöböli ki a problémát.
Safari
CVE-azonosító: CVE-2007-3760
Érintett terület: A rosszindulatú webhelyek meglátogatása webhelyek közötti szkriptelést eredményezhetett.
Leírás: A Safari egy webhelyek közötti szkriptelési hibája miatt az ártó szándékkal létrehozott webhelyek „keretcímkék” segítségével megkerülhették az azonos eredetűségi szabályzatot (SOP). Ha egy támadó rávette a felhasználót egy ártó szándékkal létrehozott weboldal felkeresésére, előidézhette ezt a problémát, ami egy JavaScript egy másik webhely környezetében történő végrehajtásához vezethetett. Ez a frissítés azzal hárítja el a problémát, hogy letiltja a JavaScript „iframe” forrásként történő használatát, és a keretcímkékben lévő JavaScriptet a lekéréséhez használt webhellyel azonos hozzáférésre korlátozza. Köszönjük Michal Zalewskinek (Google Inc.) és a Secunia Researchnek a probléma jelentését.
Safari
CVE-azonosító: CVE-2007-3761
Érintett terület: A rosszindulatú webhelyek meglátogatása webhelyek közötti szkriptelést eredményezhetett.
Leírás: A Safari egy webhelyek közötti szkriptelési hibája miatt előfordulhatott, hogy a JavaScript-események nem a megfelelő kerethez lettek társítva. Ha a támadó rávette a felhasználót egy ártó szándékkal létrehozott weboldal felkeresésére, egy másik webhely környezetében futtathatta a JavaScriptet. Ez a frissítés a JavaScript-események a megfelelő forráskerethez való társításával hárítja el a problémát.
Safari
CVE-azonosító: CVE-2007-4671
Érintett terület: A webhelyeken található JavaScript hozzáférhetett a HTTPS-en keresztül lekért dokumentumok tartalmához, illetve módosíthatta őket.
Leírás: A Safari egyik hibája lehetővé tette, hogy a HTTP-n keresztül lekért tartalmak módosítsák vagy hozzáférjenek az ugyanazon a tartományban található, HTTPS-en keresztül lekért tartalmakhoz. Ha egy támadó rávette a felhasználót egy ártó szándékkal létrehozott weboldal felkeresésére, a JavaScriptet az adott tartomány HTTPS-weboldalainak környezetében is végre lehetett hajtani. Ez a frissítés a HTTP- és HTTPS-keretekben futó JavaScriptek közötti hozzáférés korlátozásával hárítja el a problémát. Köszönjük Keigo Yamazakinak (LAC Co., Ltd., Little Earth Corporation Co., Ltd.) a probléma jelentését.
Telepítési megjegyzés:
Ez a frissítés csak az iTuneson keresztül érhető el, és nem jelenik meg a számítógép Szoftverfrissítési alkalmazásában vagy az Apple-letöltések webhelyén. Győződjön meg arról, hogy rendelkezik internetkapcsolattal, és telepítette az iTunes legújabb verzióját a www.apple.com/itunes címről.
Az iTunes a heti ütemezése szerint automatikusan ellenőrzi az Apple frissítési szerverét. Ha a rendszer frissítést észlel, letölti. Amikor az iPhone dokkolva van, az iTunes felajánlja a felhasználónak a frissítés telepítésének lehetőségét. Javasoljuk, hogy lehetőség szerint azonnal telepítse a frissítést. A telepítés mellőzésének kiválasztása esetén a következő alkalommal is megjelenik a lehetőség, amikor csatlakoztatja az iPhone készüléket.
Az automatikus frissítési folyamat akár egy hétig is eltarthat attól függően, hogy az iTunes mikor ellenőrzi a frissítéseket. A frissítést manuálisan is beszerezheti az iTunes „Frissítés keresése” gombját használva. Ezt követően a frissítés akkor lesz alkalmazva, ha az iPhone a számítógéphez van dokkolva.
Az iPhone frissítési állapotának ellenőrzése:
Lépjen a Beállításokba.
Kattintson az Általános lehetőségre.
Kattintson a Névjegyre. A frissítés telepítését követően a verzió értéke a következő lesz: „1.1.1 (3A109a)”.