Om sikkerhetsinnholdet i iOS 8.1.3

Dette dokumentet beskriver sikkerhetsinnholdet i iOS 8.1.3

Av hensyn til kundenes sikkerhet er det Apples praksis ikke å videreformidle, diskutere eller bekrefte sikkerhetsproblemer før det er foretatt en fullstendig undersøkelse og eventuelle nødvendige rettelser eller utgivelser er tilgjengelige. Du finner mer informasjon om Apple-produktsikkerhet på nettstedet for Apple-produktsikkerhet.

For å finne ut mer om PGP-nøkkelen fra Apple Produktsikkerhet går du til Slik bruker du PGP-nøkkelen fra Apple Produktsikkerhet.

Der det er mulig, brukes CVE-ID-er som henvisning for ytterligere informasjon om svakhetene.

For å finne ut mer om sikkerhetsoppdateringer går du til Apple Sikkerhetsoppdateringer.

iOS 8.1.3

  • AppleFileConduit

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig afc-kommando kan gi tilgang til beskyttede deler av filsystemet

    Beskrivelse: Det var en sårbarhet i den symbolske koblingsmekanismen til afc. Problemet ble løst ved å legge til flere banekontroller.

    CVE-ID

    CVE-2014-4480: TaiG Jailbreak Team

  • CoreGraphics

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Å åpne en skadelig PDF-fil kan føre til uventet avslutning av en app eller utilsiktet kodekjøring

    Beskrivelse: Det var et heltallsoverløp i håndteringen av PDF-filer. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4481: Felipe Andres Manzano fra Binamuse VRT via iSight Partners GVP-programmet

  • dyld

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En lokal bruker kan kjøre usignert kode

    Beskrivelse: Et tilstandsadministrasjonsproblem eksisterte i håndteringen av kjørbare Mach-O-filer med overlappende segmenter. Dette problemet ble løst gjennom forbedret validering av segmentstørrelser.

    CVE-ID

    CVE-2014-4455: TaiG Jailbreak Team

  • FontParser

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Å åpne en skadelig PDF-fil kan føre til uventet avslutning av en app eller utilsiktet kodekjøring.

    Beskrivelse: En bufferoverflyt eksisterte i håndteringen av fontfiler. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4483: Apple

  • FontParser

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Behandling av en skadelig DFONT-fil kan føre til uventet avslutning av en app eller utilsiktet kodekjøring

    Beskrivelse: Det var et problem med minnekorrupsjon i håndteringen av DFONT-filer. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4484: Gaurav Baruah i samarbeid med HPs Zero Day Initiative

  • Foundation

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Visning av en skadelig XML-fil kan føre til uventet avslutning av en app eller utilsiktet kodekjøring

    Beskrivelse: Det fantes et bufferoverløp i XML-parseren. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4485: Apple

  • IOAcceleratorFamily

    CVE-2014-4486: Ian Beer fra Google Project Zero

    Impact: A malicious application may be able to execute arbitrary code with system privileges

    Description: A null pointer dereference existed in IOAcceleratorFamily's handling of resource lists. This issue was addressed by removing unneeded code.

    CVE-ID

    CVE-2014-4486 : Ian Beer of Google Project Zero

  • IOHIDFamily

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig app kan utilsiktet kjøre kode med systemprivilegier

    Beskrivelse: Et bufferoverløp eksisterte i IOHIDFamily. Problemet ble løst gjennom forbedret validering av størrelse.

    CVE-ID

    CVE-2014-4487: TaiG Jailbreak Team

  • IOHIDFamily

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig app kan utilsiktet kjøre kode med systemprivilegier

    Beskrivelse: Det fantes et valideringsproblem i IOHIDFamilys håndtering av ressurskø-metadata. Problemet ble løst gjennom forbedret validering av metadata.

    CVE-ID

    CVE-2014-4488: Apple

  • IOHIDFamily

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig app kan utilsiktet kjøre kode med systemprivilegier

    Beskrivelse: Det fantes en nullpekerdereferanse i IOHIDFamilys håndtering av hendelseskøer. Problemet ble løst gjennom forbedret validering.

    CVE-ID

    CVE-2014-4489: @beist

  • iTunes Store

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Et nettsted kan omgå sandkassebegrensninger ved å bruke iTunes Store

    Beskrivelse: Det var et problem i håndteringen av nettadresser som ble omdirigert fra Safari til iTunes Store, som kan gjøre at et skadelig nettsted omgår Safaris sandkassebegrensninger. Problemet ble løst med forbedret filtrering av nettadresser åpnet av iTunes Store.

    CVE-ID

    CVE-2014-8840: lokihardt@ASRT i samarbeid med HPs Zero Day Initiative

  • Kerberos

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig app kan utilsiktet kjøre kode med systemprivilegier

    Beskrivelse: Kerberos sitt libgssapi-bibliotek returnerte et konteksttoken med en dinglende peker. Problemet ble løst gjennom forbedret tilstandshåndtering.

    CVE-ID

    CVE-2014-5352

  • Kernel

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Skadelige iOS-apper kan bestemme adresser i kjernen

    Beskrivelse: Det var et problem med informasjonsavsløring i håndteringen av API-er relatert til kjerneutvidelser. Svar som inneholdt en OSBundleMachOHeaders-nøkkel, kan ha inkludert kjerneadresser, noe som kan bidra til omgåelse av beskyttelsen som et randomisert adresseområdeoppsett gir. Dette problemet ble løst ved å fjerne adressene før de ble returnert.

    CVE-ID

    CVE-2014-4491: @PanguTeam, Stefan Esser

  • Kernel

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig app kan utilsiktet kjøre kode med systemprivilegier

    Beskrivelse: Det eksisterte et problem i delt kjerneminnedelsystem som tillot en angriper å skrive til et minne som skulle være skrivebeskyttet. Problemet ble løst gjennom strengere kontroll av rettigheter til delt minne.

    CVE-ID

    CVE-2014-4495: Ian Beer fra Google Project Zero

  • Kernel

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Skadelige iOS-apper kan bestemme adresser i kjernen

    Beskrivelse: mach_port_kobject-kjernegrensesnittet lekket kjerneadresser og heap-permutasjonsverdi, noe som kan hjelpe til med å omgå randomiseringsbeskyttelse for adresseromsoppsett. Dette ble løst ved å deaktivere mach_port_kobject-grensesnittet i produksjonskonfigurasjoner.

    CVE-ID

    CVE-2014-4496: TaiG Jailbreak Team

  • libnetcore

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig sandkasseapp kan kompromittere nettverksdemonen

    Beskrivelse: Flere typer forvirringsproblemer eksisterte i networkd sin håndtering av kommunikasjon mellom prosesser. Det kan ha vært mulig med utilsiktet kodekjøring som networkd-prosessen ved å sende en skadelig formatert melding til networkd. Problemet ble løst gjennom ytterligere typekontroll.

    CVE-ID

    CVE-2014-4492: Ian Beer fra Google Project Zero

  • MobileInstallation

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: En skadelig bedriftssignert app kan ta kontroll over den lokale beholderen for apper som allerede er på en enhet

    Beskrivelse: Det fantes en sårbarhet i appinstalleringsprosessen. Dette ble løst ved å forhindre at bedriftsapper overstyrte eksisterende apper i spesifikke scenarioer.

    CVE-ID

    CVE-2014-4493: Hui Xue og Tao Wei hos FireEye, Inc.

  • Springboard

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Bedriftssignerte apper kan lanseres uten å be om tillit

    Beskrivelse: Det var et problem med å bestemme når det skulle bes om tillit ved første åpning av en bedriftssignert app. Dette problemet ble løst gjennom forbedret kodesignaturvalidering.

    CVE-ID

    CVE-2014-4494: Song Jin, Hui Xue og Tao Wei hos FireEye, Inc.

  • WebKit

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Besøk på et nettsted som rammer inn skadelig innhold, kan føre til UI-spoofing

    Beskrivelse: Et UI-spoofing-problem eksisterte i håndteringen av rullefeltgrenser. Problemet ble løst gjennom forbedret grensekontroll.

    CVE-ID

    CVE-2014-4467: Jordan Milne

  • WebKit

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Stilark lastes inn med kryssopprinnelse som kan tillate data utfiltrering

    Beskrivelse: En SVG lastet inn i et IMG-element kan laste inn en CSS-fil med kryssopprinnelse. Problemet ble løst gjennom forbedret blokkering av eksterne CSS-referanser i SVG-er.

    CVE-ID

    CVE-2014-4465: Rennie deGraaf fra iSEC Partners

  • WebKit

    Tilgjengelig for iPhone 4s og nyere, iPod touch (5. generasjon) og nyere, iPad 2 og nyere

    Virkning: Besøk på et skadelig nettsted kan føre til uventet avslutning av en app eller utilsiktet kodekjøring

    Beskrivelse: Det var flere problemer med minnekorrupsjon i WebKit. Problemene ble løst gjennom forbedret minnehåndtering.

    CVE-ID

    CVE-2014-3192: cloudfuzzer

    CVE-2014-4459

    CVE-2014-4466: Apple

    CVE-2014-4468: Apple

    CVE-2014-4469: Apple

    CVE-2014-4470: Apple

    CVE-2014-4471: Apple

    CVE-2014-4472: Apple

    CVE-2014-4473: Apple

    CVE-2014-4474: Apple

    CVE-2014-4475: Apple

    CVE-2014-4476: Apple

    CVE-2014-4477: lokihardt@ASRT i samarbeid med HPs Zero Day Initiative

    CVE-2014-4479: Apple

Informasjon om produkter som ikke er laget av Apple, samt uavhengige nettsteder som ikke kontrolleres eller testes av Apple, er gitt uten anbefaling eller godkjenning. Apple påtar seg ikke noe ansvar for utvalget av, bruken av eller ytelsen til nettsteder og produkter fra tredjeparter. Apple garanterer ikke for nøyaktigheten eller påliteligheten til tredjeparters nettsteder. Kontakt leverandøren for mer informasjon.

Publiseringsdato: