Informatie over de beveiligingsinhoud van iPhone versie 2.1

Dit document beschrijft de beveiligingsinhoud van iPhone versie 2.1

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Raadpleeg de website Apple productbeveiliging voor meer informatie over de Apple productbeveiliging.

Zie 'How to use the Apple Product Security PGP Key' (Hoe gebruikt u de Apple PGP-sleutel voor productbeveiliging) voor meer informatie over het gebruik van de Apple PGP-sleutel voor productbeveiliging.

Waar mogelijk worden CVE-ID's gebruikt om verwijzingen te bieden voor kwetsbare punten voor nadere informatie.

Ga naar 'Apple beveiligingsupdates' voor meer informatie over andere beveiligingsupdates.

 

Dit artikel is gearchiveerd en wordt niet meer bijgewerkt door Apple.

iPhone versie 2.1

  • Toepassings-sandbox

    CVE-ID: CVE-2008-3631

    Beschikbaar voor iPhone versie 2.0 tot en met versie 2.0.2

    Effect: een toepassing kan wellicht de bestanden van een andere toepassing lezen

    Beschrijving: de toepassingen-sandbox voert toegangsbeperkingen tussen toepassingen van derden niet voldoende uit. Hierdoor kan een toepassing van derden de bestanden lezen van de sandbox van een andere toepassing van derden, waardoor gevoelige informatie zou kunnen worden vrijgegeven. Deze update behandelt dit probleem door de juiste toegangsbeperkingen uit te voeren tussen de sandboxes van de toepassingen. Dank aan Nicolas Seriot van Sen:te en Bryce Cogswell voor het melden van dit probleem. Dit probleem heeft geen effect op eerdere iPhones dan versie 2.0.

  • CoreGraphics

    CVE-ID: CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

    Beschikbaar voor iPhone versie 1.0 tot en met versie 2.0.2

    Effect: meerdere kwetsbaarheden in FreeType versie 2.3.5

    Beschrijving: er zijn meerdere kwetsbaarheden in FreeType versie 2.3.5, waarvan de meest gevaarlijke kunnen leiden tot willekeurige codeuitvoering bij het gebruiken van kwaadwillig vervaardigde fontgegevens. Deze update behandelt dit probleem door de beveiligingsreparaties van versie 2.3.6 van FreeType toe te passen. Meer informatie is te vinden op de website van FreeType op http://www.freetype.org/

  • mDNSResponder

    CVE-ID: CVE-2008-1447

    Beschikbaar voor iPhone versie 1.0 tot en met versie 2.0.2

    Effect: mDNSResponder is vatbaar voor DNS-cache-vergiftiging en kan valse informatie terugsturen.

    Beschrijving: mDNSResponder zorgt voor vertalingen tussen hostnamen en IP-adressen voor toepassingen die gebruikmaken van de DNS-resolutie API. Een zwak punt in de DNS-protocool kan een externe aanvaller de kans geven om DNS-cache-vergiftigingen uit te voeren. Hierdoor kunnen toepassingen die afhankelijk zijn van mDNSResponder voor DNS valse informatie ontvangen. Deze update behandelt dit probleem door bronpoort en transactie-id willekeurig te maken om de weerbaarheid tegen cache-vergiftigingsaanvallen te verbeteren. Met dank aan Dan Kaminsky van IOActive voor het melden van dit probleem.

  • Netwerken

    CVE-ID: CVE-2008-3612

    Beschikbaar voor iPhone versie 2.0 tot en met versie 2.0.2

    Effect: voorspelbare generatie van TCP-initiële volgnummers kan leiden tot TCP-vervalsing of het kapen van sessies.

    Beschrijving: TCP-initiële volgnummers worden in een reeks gegenereerd. Voorspelbare initiële volgnummers kunnen een externe aanvaller de kans bieden om een valse TCP-connectie te maken of om gegevens in te voeren in een bestaande TCP-connectie. Deze update behandelt dit probleem door willekeurige TCP-initiële volgnummers te genereren. Dit probleem heeft geen effect op eerdere iPhones dan versie 2.0.

  • Toegangscodevergrendeling

    CVE-ID: CVE-2008-3633

    Beschikbaar voor iPhone versie 2.0 tot en met versie 2.0.2

    Effect: een onbevoegde gebruiker kan de toegangscode omzeilen en iPhone-toepassingen starten

    Beschrijving: de functie Toegangscodevergrendeling is ontworpen zodat toepassingen niet kunnen worden gestart als de toegangscode niet correct is ingevoerd. Een implementatieprobleem met het behandelen van noodgesprekken laat gebruikers de toepassingen openen zonder de toegangscode in te voeren door tweemaal op de thuisknop te klikken tijdens het bellen naar alarmnummers. Deze update behandelt dit probleem door een verbeterde behandeling van noodgesprekken. Met dank aan Matthew Yohe van de afdeling Electrical and Computer Engineering van The University of Iowa voor het melden van dit probleem. Dit probleem heeft geen effect op oudere iPhones dan versie 2.0.

  • WebKit

    CVE-ID: CVE-2008-3632

    Beschikbaar voor iPhone versie 1.0 tot en met versie 2.0.2

    Effect: een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code

    Beschrijving: er bestaat een 'use-after-free'-probleem in de behandeling van CSS-import statements door WebKit. Een bezoek aan een kwaadwillig vervaardigde website kan leiden tot het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code. Deze update behandelt dit probleem door middel van verbeterde behandelingen van documentreferenties.

Publicatiedatum: