Acerca dos conteúdos de segurança da atualização iPhone 1.1.1
Este documento descreve os conteúdos de segurança da atualização iPhone v1.1.1.
Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação completa e não estiverem disponíveis as correções ou versões necessárias. Para obter mais informações acerca da segurança dos produtos Apple, consulte o site Segurança dos produtos Apple.
Para obter informações sobre a chave PGP de segurança dos produtos Apple, consulte o artigo "Como utilizar a chave PGP de segurança dos produtos Apple".
Sempre que possível, são utilizados ID CVE para designar as vulnerabilidades e disponibilizar mais informações.
Para obter mais informações acerca de outras atualizações de segurança, consulte o artigo "Atualizações de segurança da Apple".
Atualização iPhone v1.1.1
Bluetooth
CVE-ID: CVE-2007-3753
Impacto: um atacante dentro do alcance do Bluetooth poderá conseguir provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário.
Descrição: existe um problema de validação de entradas no servidor Bluetooth do iPhone. Ao enviar pacotes SDP (Service Discovery Protocol) criados com intuito malicioso para um iPhone com Bluetooth ativado, um atacante poderá desencadear o problema, o que poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário. Esta atualização resolve o problema ao efetuar a validação adicional de pacotes SDP. Os nossos agradecimentos a Kevin Mahaffey e John Hering da Flexilis Mobile Security por terem comunicado este problema.
CVE-ID: CVE-2007-3754
Impacto: verificar o e-mail através de redes não fidedignas poderá provocar a divulgação de informações por meio de um ataque man-in-the-middle.
Descrição: quando o Mail está configurado para utilizar o SSL na receção e envio de ligações, o mesmo não avisa o utilizador quando a identidade do servidor de correio foi alterada ou não é fidedigna. Um atacante capaz de intercetar a ligação poderá conseguir fazer-se passar pelo servidor de correio do utilizador e obter as respetivas credenciais de e-mail ou outras informações confidenciais. Esta atualização resolve o problema ao dar a devida advertência quando a identidade do servidor de correio remoto foi alterada.
CVE-ID: CVE-2007-3755
Impacto: seguir uma ligação de chamada telefónica ("tel:") no Mail fará com que um número de telefone sem confirmação seja marcado.
Descrição: o Mail suporta ligações de chamada telefónica ("tel:") para marcar números de telefone. Ao incentivar um utilizador a seguir uma ligação de chamada telefónica numa mensagem de correio, um atacante poderá fazer com que o iPhone efetue uma chamada sem a confirmação do utilizador. Esta atualização resolve o problema ao apresentar uma janela de confirmação antes de marcar um número de telefone através de uma ligação de chamada telefónica no Mail. Os nossos agradecimentos a Andi Baritchi da McAfee por ter comunicado este problema.
Safari
CVE-ID: CVE-2007-3756
Impacto: aceder a um site malicioso poderá provocar a divulgação de conteúdos de URL.
Descrição: um problema de design no Safari permite que uma página web leia o URL que está a ser visto na respetiva janela principal. Ao incentivar um utilizador a aceder a uma página web criada com intuito malicioso, um atacante poderá conseguir obter o URL de uma página não relacionada. Esta atualização resolve o problema através de uma verificação de segurança entre domínios melhorada. Os nossos agradecimentos a Michal Zalewski da Google Inc. e à Secunia Research por terem comunicado este problema.
Safari
CVE-ID: CVE-2007-3757
Impacto: aceder a um site malicioso poderá provocar a marcação não intencional de um número ou a marcação de um número diferente do esperado.
Descrição: o Safari suporta ligações de chamada telefónica ("tel:") para marcar números de telefone. Quando uma ligação de chamada telefónica é selecionada, o Safari irá confirmar que o número deve ser marcado. Uma ligação de chamada telefónica criada com intuito malicioso poderá fazer com que durante a confirmação seja apresentado um número diferente daquele que foi efetivamente marcado. Sair do Safari durante o processo de confirmação poderá resultar numa confirmação não intencional. Esta atualização resolve o problema ao apresentar corretamente o número que será marcado e exigir confirmação para as ligações de chamadas telefónicas. Os nossos agradecimentos a Billy Hoffman e Bryan Sullivan da HP Security Labs (anteriormente denominada SPI Labs) e a Eduardo Tang por terem comunicado este problema.
Safari
CVE-ID: CVE-2007-3758
Impacto: aceder a um site malicioso poderá provocar a execução de scripts entre sites.
Descrição: existe uma vulnerabilidade de execução de scripts entre sites no Safari que permite que sites maliciosos definam as propriedades de janelas do JavaScript de sites servidos a partir de um domínio diferente. Ao incentivar um utilizador a aceder a um site criado com intuito malicioso, um atacante poderá desencadear o problema, provocando a obtenção ou definição do estado da janela e da localização das páginas servidas a partir de outros sites. Esta atualização resolve o problema ao fornecer controlos de acesso melhorados nestas propriedades. Os nossos agradecimentos a Michal Zalewski da Google Inc. por ter comunicado este problema.
Safari
CVE-ID: CVE-2007-3759
Impacto: a desativação do JavaScript não entra em vigor até o Safari ser reiniciado.
Descrição: o Safari pode ser configurado para ativar ou desativar o JavaScript. Esta preferência não entra em vigor até à próxima vez que o Safari for reiniciado. Normalmente, isto ocorre quando o iPhone é reiniciado. Tal pode induzir os utilizadores a acreditar que o JavaScript está desativado quando não está. Esta atualização resolve o problema ao aplicar a nova preferência antes do carregamento de novas páginas web.
Safari
CVE-ID: CVE-2007-3760
Impacto: aceder a um site malicioso poderá resultar na execução de scripts entre sites.
Descrição: um problema de execução de scripts entre sites no Safari permite que um site criado com intuito malicioso contorne a política da mesma origem ao utilizar etiquetas de "fotogramas". Ao incentivar um utilizador a aceder a uma página web criada com intuito malicioso, um atacante poderá desencadear o problema, o que poderá levar à execução do JavaScript no contexto de outro site. Esta atualização resolve o problema ao impedir que o JavaScript esteja disponível como uma origem "iframe" e ao limitá-lo a etiquetas de fotogramas com o mesmo acesso que o site a partir do qual foi servido. Os nossos agradecimentos a Michal Zalewski da Google Inc. e à Secunia Research por terem comunicado este problema.
Safari
CVE-ID: CVE-2007-3761
Impacto: aceder a um site malicioso poderá resultar na execução de scripts entre sites.
Descrição: um problema de execução de scripts entre sites no Safari permite a associação de eventos do JavaScript ao fotograma errado. Ao incentivar um utilizador a aceder a uma página web criada com intuito malicioso, um atacante poderá desencadear a execução do JavaScript no contexto de outro site. Esta atualização resolve o problema ao associar eventos do JavaScript ao fotograma de origem correto.
Safari
CVE-ID: CVE-2007-4671
Impacto: o JavaScript em sites poderá aceder ou manipular os conteúdos dos documentos servidos através de HTTPS.
Descrição: um problema no Safari permite que os conteúdos servidos através de HTTP alterem ou acedam a conteúdos servidos através de HTTPS no mesmo domínio. Ao incentivar um utilizador a aceder a uma página web criada com intuito malicioso, um atacante poderá desencadear a execução do JavaScript no contexto de páginas web HTTPS nesse domínio. Esta atualização resolve o problema ao limitar o acesso entre a execução do JavaScript em fotogramas HTTP e HTTPS. Os nossos agradecimentos a Keigo Yamazaki da LAC Co., Ltd. (Little eArth Corporation Co., Ltd.) por ter comunicado este problema.
Nota de instalação:
Esta atualização só está disponível através do iTunes e não será apresentada na aplicação Atualização de software do computador ou no site de Descargas da Apple. Certifique-se de que tem uma ligação à Internet e de que instalou a versão mais recente do iTunes em www.apple.com/pt/itunes.
O iTunes irá verificar automaticamente a programação semanal do servidor de atualizações da Apple. Quando for detetada uma atualização, este irá descarregá-la. Quando o iPhone estiver ancorado, o iTunes irá apresentar ao utilizador a opção de instalar a atualização. Se possível, recomendamos que aplique a atualização de imediato. Se selecionar "Don't install" (Não instalar), verá a opção da próxima vez que ligar o seu iPhone.
O processo de atualização automática pode demorar até uma semana, consoante o dia em que o iTunes procurar atualizações. Pode obter a atualização manualmente através do botão "Procurar atualizações" no iTunes. Depois de fazê-lo, a atualização pode ser aplicada quando ancorar o iPhone ao computador.
Para verificar se o iPhone foi atualizado:
Navegue até Definições
Clique em Geral
Clique em Informações. A versão após aplicar esta atualização será "1.1.1 (3A109a)".