Acerca dos conteúdos de segurança da Actualização de software 4.3.2 do iOS

Este documento descreve os conteúdos de segurança da Actualização de software 4.3.2 do iOS.

Este documento descreve os conteúdos de segurança da Actualização de software 4.3.2 do iOS, que pode ser descarregada e instalada através do iTunes.

Para proteção dos nossos clientes, a Apple não divulga, comenta nem confirma problemas de segurança enquanto não for efetuada uma investigação completa e não estiverem disponíveis as correções ou versões necessárias. Para obter mais informações acerca da segurança dos produtos Apple, consulte o site Segurança dos produtos Apple.

Para obter informações acerca da chave PGP de segurança dos produtos Apple, consulte o artigo Como utilizar a chave PGP de segurança dos produtos Apple.

Sempre que possível, são utilizados ID CVE para designar as vulnerabilidades e disponibilizar mais informações.

Para obter mais informações acerca de outras atualizações de segurança, consulte o artigo Atualizações de segurança da Apple.

Actualização de software 4.3.2 do iOS

  • Política de confiança de certificados

    Disponível para: iOS 3.0 a 4.3.1 para iPhone 3GS e posterior, iOS 3.1 a 4.3.1 para iPod touch (3.ª geração) e posterior, iOS 3.2 a 4.3.1 para iPad

    Impacto: um atacante com uma posição privilegiada na rede poderá intercetar credenciais de utilizador ou outras informações sensíveis

    Descrição: foram emitidos vários certificados SSL fraudulentos por parte de uma autoridade de registo sob a alçada da Comodo. Esta situação poderá permitir que um atacante "man-in-the-middle" (através de intermediários) redirecione ligações e intercete credenciais de utilizador ou outras informações sensíveis. Este problema é resolvido ao colocar os certificados fraudulentos na lista negra.

    Nota: nos sistemas Mac OS X, este problema é resolvido com a Actualização de segurança 2011-002. Em sistemas Windows, o Safari baseia-se no armazenamento de certificados do sistema operativo anfitrião para determinar se os certificados de servidor SSL são fidedignos. A instalação da atualização descrita no Artigo 2524375 da Base de conhecimentos da Microsoft fará com que o Safari identifique estes certificados como não sendo fidedignos. Este artigo está disponível em http://support.microsoft.com/kb/2524375/pt-pt

  • libxslt

    Disponível para: iOS 3.0 a 4.3.1 para iPhone 3GS e posterior, iOS 3.1 a 4.3.1 para iPod touch (3.ª geração) e posterior, iOS 3.2 a 4.3.1 para iPad

    Impacto: visitar um site criado com intuito malicioso poderá provocar a divulgação de endereços na área dinâmica para dados

    Descrição: a implementação, por parte do libxslt, da função generate-id() XPath divulgou o endereço de um buffer da área dinâmica para dados. Visitar um site criado com intuito malicioso poderá provocar a divulgação de endereços na área dinâmica para dados, que podem ajudar a ignorar a proteção de aleatoriedade de esquema de espaços de endereços. Este problema é resolvido através da criação de um ID com base na diferença entre os endereços em dois buffers da área dinâmica para dados.

    ID CVE

    CVE-2011-0195: Chris Evans da equipa de segurança do Google Chrome

  • QuickLook

    Disponível para: iOS 3.0 a 4.3.1 para iPhone 3GS e posterior, iOS 3.1 a 4.3.1 para iPod touch (3.ª geração) e posterior, iOS 3.2 a 4.3.1 para iPad

    Impacto: a visualização de um ficheiro do Microsoft Office criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário

    Descrição: existia um problema de corrupção de memória no processamento de ficheiros do Microsoft Office por parte do QuickLook. A visualização de um ficheiro do Microsoft Office criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário.

    ID CVE

    CVE-2011-1417: Charlie Miller e Dion Blazakis, em colaboração com o programa Zero Day Initiative da TippingPoint

  • WebKit

    Disponível para: iOS 3.0 a 4.3.1 para iPhone 3GS e posterior, iOS 3.1 a 4.3.1 para iPod touch (3.ª geração) e posterior, iOS 3.2 a 4.3.1 para iPad

    Impacto: visitar um site criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário

    Descrição: existia um problema de ultrapassagem do limite máximo de números inteiros no processamento de conjuntos de nós. Visitar um site criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário.

    ID CVE

    CVE-2011-1290: Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp Weinmann e um investigador anónimo, em colaboração com o programa Zero Day Initiative da TippingPoint

  • WebKit

    Disponível para: iOS 3.0 a 4.3.1 para iPhone 3GS e posterior, iOS 3.1 a 4.3.1 para iPod touch (3.ª geração) e posterior, iOS 3.2 a 4.3.1 para iPad

    Impacto: visitar um site criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário

    Descrição: existia um problema de "utilização após libertação de memória" no processamento de nós de texto. Visitar um site criado com intuito malicioso poderá provocar o encerramento inesperado da aplicação ou a execução de um código arbitrário.

    ID CVE

    CVE-2011-1344: Vupen Security em colaboração com o programa Zero Day Initiative da TippingPoint e Martin Barbella

As informações sobre os produtos não fabricados pela Apple ou os sites independentes não controlados ou testados pela Apple são disponibilizadas sem recomendações nem aprovação. A Apple não assume qualquer responsabilidade no que diz respeito à seleção, ao desempenho ou à utilização dos sites ou produtos de terceiros. A Apple não garante a precisão nem a fiabilidade dos sites de terceiros. Contacte o fornecedor para obter mais informações.

Data de publicação: