Informazioni sul contenuto di sicurezza dell‘aggiornamento software iOS 6.1

In questo documento viene descritto il contenuto di sicurezza di iOS 6.1.

Per proteggere i propri clienti, Apple non divulga, illustra o conferma alcun problema relativo alla sicurezza prima di aver eseguito un'indagine approfondita e messo a disposizione le correzioni o gli aggiornamenti necessari. Per ulteriori informazioni consulta il sito web sulla sicurezza dei prodotti Apple.

Per informazioni sulla chiave PGP per la sicurezza dei prodotti Apple leggi l'articolo Come usare la chiave PGP per la sicurezza dei prodotti Apple.

Quando possibile, vengono utilizzati ID CVE per fornire ulteriori informazioni sulle vulnerabilità.

Per informazioni su altri aggiornamenti di sicurezza consulta Aggiornamenti di sicurezza Apple.

iOS 6.1

  • Servizi di identità

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: l'autenticazione basata su ID Apple con certificato può essere ignorata.

    Descrizione: si verifica un problema di gestione degli errori in Servizi di identità. Se l'operazione di convalida del certificato associato all'ID Apple dell'utente non riesce, l'ID Apple viene considerato una stringa vuota. Se questa situazione si verifica in più sistemi appartenenti a utenti diversi, le applicazioni basate su questa determinazione dell'identità possono erroneamente estendere l'affidabilità. Questo problema viene risolto assicurando la restituzione del valore NULL invece di una stringa vuota.

    ID CVE

    CVE-2013-0963

  • ICU (International Components for Unicode)

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: l'accesso a un sito web dannoso può causare un attacco di scripting cross-site.

    Descrizione: si verifica un problema di canonicalizzazione nella gestione della codifica EUC-JP, che può causare un attacco di scripting cross-site nei siti web con codifica EUC-JP. Questo problema viene risolto aggiornando la tabella di mapping EUC-JP.

    ID CVE

    CVE-2011-3058: Masato Kinugawa

  • Kernel

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: un processo in modalità utente può essere in grado di accedere alla prima pagina della memoria del kernel.

    Descrizione: il kernel iOS dispone di controlli per verificare che il puntatore e la lunghezza in modalità utente, quando sono attive le funzioni copyin e copyout, non generino un processo in modalità utente in grado di accedere direttamente alla memoria del kernel. I controlli non vengono usati in caso di lunghezza inferiore a una pagina. Questo problema viene risolto mediante un'ulteriore convalida degli argomenti per le funzioni copyin e copyout.

    ID CVE

    CVE-2013-0964: Mark Dowd di Azimuth Security

  • Sicurezza

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: un malintenzionato con una posizione privilegiata sulla rete può intercettare le credenziali dell'utente o altre informazioni riservate.

    Descrizione: diversi certificati CA intermedi vengono erroneamente emessi da TURKTRUST. Questo consente a un malintenzionato di portare a termine attacchi man-in-the-middle reindirizzando le connessioni e intercettando le credenziali utente o altre informazioni riservate. Questo problema viene risolto negando le autorizzazioni ai certificati SSL non corretti.

  • StoreKit

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: JavaScript può essere abilitato in Mobile Safari senza l'intervento dell'utente.

    Descrizione: se JavaScript è stato disattivato nelle preferenze di Safari, può essere riattivato quando si accede a un sito in cui viene visualizzato un banner Smart App, senza che l'utente ne sia informato. Questo problema viene risolto non abilitando JavaScript quando si accede a un sito con un banner Smart App.

    ID CVE

    CVE-2013-0974: Andrew Plotkin di Zarfhome Software Consulting, Ben Madison di BitCloud, Marek Durcek

  • WebKit

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: l'accesso a un sito web dannoso può causare una chiusura improvvisa dell'applicazione o l'esecuzione di codice arbitrario.

    Descrizione: si verificano diversi problemi di danneggiamento della memoria in WebKit. Questi problemi vengono risolti mediante una migliore gestione della memoria.

    ID CVE

    CVE-2012-2857: Arthur Gerkis

    CVE-2012-3606: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2012-3607: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2012-3621: Skylined del Google Chrome Security Team

    CVE-2012-3632: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2012-3687: kuzzcc

    CVE-2012-3701: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0948: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0949: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0950: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0951: Apple

    CVE-2013-0952: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0953: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0954: Dominic Cooney di Google e Martin Barbella del Google Chrome Security Team

    CVE-2013-0955: Apple

    CVE-2013-0956: sicurezza dei prodotti Apple

    CVE-2012-2824: miaubiz

    CVE-2013-0958: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0959: Abhishek Arya (Inferno) del Google Chrome Security Team

    CVE-2013-0968: Aaron Nelson

  • WebKit

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: copiare e incollare contenuti su un sito web pericoloso può causare un attacco di scripting cross-site.

    Descrizione: si verifica un problema di scripting cross-site nella gestione dei contenuti incollati da un'altra origine. Questo problema viene risolto mediante un'ulteriore convalida dei contenuti incollati.

    ID CVE

    CVE-2013-0962: Mario Heiderich di Cure53

  • WebKit

    Disponibile per: iPhone 3GS e versioni più recenti, iPod touch (4a generazione) e versioni più recenti, iPad 2 e versioni più recenti

    Impatto: l'accesso a un sito web dannoso può causare un attacco di scripting cross-site.

    Descrizione: si verifica un problema di scripting cross-site nella gestione degli elementi frame. Questo problema viene risolto mediante un migliore tracking delle origini.

    ID CVE

    CVE-2012-2889: Sergey Glazunov

  • Wi-Fi

    Disponibile per: iPhone 3GS, iPhone 4, iPod touch (4a generazione), iPad 2

    Impatto: un malintenzionato collegato in remoto sulla stessa rete Wi-Fi può essere in grado di disattivare temporaneamente il Wi-Fi.

    Descrizione: si verifica un problema di lettura fuori dai limiti nella gestione degli elementi informativi 802.11i da parte dei firmware dei chip Broadcom BCM4325 e BCM4329. Questo problema viene risolto mediante un'ulteriore convalida degli elementi informativi di 802.11i.

    ID CVE

    CVE-2012-2619: Andres Blanco e Matias Eissler di Core Security

 

Le informazioni relative ai prodotti non fabbricati da Apple o ai siti web indipendenti non controllati o testati da Apple vengono fornite senza raccomandazioni o approvazioni. Apple non si assume alcuna responsabilità in merito alla scelta, alle prestazioni o all'utilizzo di prodotti o siti web di terze parti. Apple non esprime alcuna opinione in merito alla precisione o all'affidabilità dei siti web di terze parti. Esistono rischi impliciti nell'uso di internet. Per ulteriori informazioni contattare il fornitore. Altri nomi di aziende e prodotti potrebbero essere marchi dei rispettivi proprietari.

Ultima modifica: