เกี่ยวกับเนื้อหาความปลอดภัยของการอัปเดต iPhone เวอร์ชั่น 1.1.1

เอกสารฉบับนี้จะอธิบายเกี่ยวกับเนื้อหาความปลอดภัยของการอัปเดต iPhone เวอร์ชั่น 1.1.1

เพื่อเป็นการปกป้องลูกค้าของเรา ทาง Apple จะไม่เปิดเผย อภิปราย หรือยืนยันปัญหาด้านความปลอดภัยจนกว่าจะมีการตรวจสอบแบบเต็มรูปแบบ และมีแพตช์หรือมีการเปิดตัวที่จำเป็นออกมาแล้ว หากต้องการดูข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัยของผลิตภัณฑ์ Apple ให้ดูที่ความปลอดภัยของผลิตภัณฑ์ Apple ในเว็บไซต์

หากต้องการดูข้อมูลเกี่ยวกับคีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple ให้ดูที่ "วิธีใช้คีย์ PGP สำหรับความปลอดภัยของผลิตภัณฑ์ Apple"

หากต้องการข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ต่างๆ ให้ใช้ CVE ID ในการอ้างอิง หากทำได้

หากต้องการดูข้อมูลเกี่ยวกับการอัปเดตด้านความปลอดภัยอื่นๆ ให้ดูที่ "รายการอัปเดตความปลอดภัยของ Apple"

การอัปเดต iPhone เวอร์ชั่น 1.1.1

Bluetooth

CVE-ID: CVE-2007-3753

ผลกระทบ: ผู้โจมตีที่อยู่ในระยะของ Bluetooth อาจเป็นเหตุให้แอปพลิเคชันหยุดทำงานโดยไม่คาดคิดหรือมีการใช้โค้ดโดยอำเภอใจ

คำอธิบาย: มีปัญหาเกี่ยวกับการตรวจสอบอินพุตในเซิร์ฟเวอร์ Bluetooth ของ iPhone เมื่อผู้โจมตีส่งแพ็คเก็ต Service Discovery Protocol (SDP) ที่ออกแบบมาเพื่อประสงค์ร้ายไปยัง iPhone ที่เปิดใช้งาน Bluetooth อยู่ ผู้โจมตีอาจสร้างปัญหาขึ้น ซึ่งอาจเป็นเหตุให้แอปพลิเคชันหยุดทำงานโดยไม่คาดคิดหรือมีการใช้โค้ดโดยอำเภอใจ การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการตรวจสอบแพ็คเก็ต SDP เพิ่มเติม ขอขอบคุณ Kevin Mahaffey และ John Hering จาก Flexilis Mobile Security ที่รายงานปัญหานี้

Mail

CVE-ID: CVE-2007-3754

ผลกระทบ: การตรวจสอบอีเมลผ่านเครือข่ายที่ไม่น่าเชื่อถืออาจเป็นเหตุให้มีการเปิดเผยข้อมูลผ่านการโจมตีแบบ man-in-the-middle

คำอธิบาย: เมื่อกำหนดค่าเมลเพื่อใช้งาน SSL สำหรับการเชื่อมต่อขาเข้าและขาออก ระบบไม่เตือนผู้ใช้เมื่อข้อมูลประจำตัวของเซิร์ฟเวอร์เมล เปลี่ยนแปลงไปหรือไม่น่าเชื่อถือ ผู้โจมตีที่สามารถสกัดกั้นการเชื่อมต่ออาจสามารถปลอมแปลงเซิร์ฟเวอร์เมลของผู้ใช้ และได้รับข้อมูลประจำตัวของอีเมลหรือข้อมูลที่ละเอียดอ่อนอื่นๆ ของผู้ใช้ การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการเตือนเมื่อข้อมูลประจำตัวของเซิร์ฟเวอร์อีเมลจากระยะไกลมีการเปลี่ยนแปลง

Mail

CVE-ID: CVE-2007-3755

ผลกระทบ: การไปที่ลิงก์โทรศัพท์ ("โทร:") ในเมลจะโทรหาหมายเลขดังกล่าวโดยไม่มีการยืนยัน

คำอธิบาย: เมลรองรับลิงก์โทรศัพท์ ("โทร:") สำหรับโทรหาหมายเลขโทรศัพท์ ผู้โจมตีสามารถทำให้ iPhone ทำการโทรได้โดยไม่ต้องให้ผู้ใช้ยืนยัน โดยใช้วิธีชักชวนไปที่ลิงก์โทรศัพท์ในข้อความเมล การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการแสดงหน้าต่างการยืนยันก่อนการโทรหาหมายเลขโทรศัพท์ผ่านลิงก์โทรศัพท์ในเมล ขอขอบคุณ Andi Baritchi จาก McAfee ที่รายงานปัญหานี้

Safari

CVE-ID: CVE-2007-3756

ผลกระทบ: การเยี่ยมชมเว็บไซต์ที่ประสงค์ร้ายอาจเป็นเหตุให้มีการเปิดเผยเนื้อหา URL

คำอธิบาย: ปัญหาด้านการออกแบบใน Safari ทำให้เว็บเพจสามารถอ่าน URL ที่ผู้ใช้กำลังดูอยู่ได้ในหน้าต่างหลัก ผู้โจมตีอาจได้รับ URL ของหน้าที่ไม่ได้เกี่ยวข้อง โดยใช้วิธีชักชวนให้ผู้ใช้เข้าชมเว็บเพจที่ออกแบบมาเพื่อประสงค์ร้าย การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการตรวจสอบความปลอดภัยแบบข้ามโดเมนที่ปรับปรุงแล้ว ขอขอบคุณ Michal Zalewski จาก Google Inc. และ Secunia Research ที่รายงานปัญหานี้

Safari

CVE-ID: CVE-2007-3757

ผลกระทบ: การเยี่ยมชมเว็บไซต์ที่ประสงค์ร้ายอาจส่งผลให้เครื่องทำการโทรโดยไม่ได้ตั้งใจหรือทำการโทรหาหมายเลขที่ไม่ตั้งใจ

คำอธิบาย: Safari รองรับลิงก์โทรศัพท์ ("โทร:") สำหรับโทรหาหมายเลขโทรศัพท์ เมื่อเลือกลิงก์โทรศัพท์ Safari จะขอการยืนยันว่าต้องการโทรหาหมายเลขดังกล่าวหรือไม่ ลิงก์โทรศัพท์ที่ออกแบบมาเพื่อประสงค์ร้ายอาจทำให้หมายเลขอื่นปรากฏขึ้นเมื่อทำการยืนยันแทนหมายเลขจริงที่โทรหา การออกจาก Safari ในระหว่างกระบวนการยืนยันอาจส่งผลให้มีการยืนยันโดยไม่ได้ตั้งใจ การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการแสดงหมายเลขที่จะโทรหา และขอให้ผู้ใช้ทำการยืนยันลิงก์โทรศัพท์ ขอขอบคุณ Billy Hoffman และ Bryan Sullivan จาก HP Security Labs (เดิมชื่อ SPI Labs) และ Eduardo Tang ที่รายงานปัญหานี้

Safari

CVE-ID: CVE-2007-3758

ผลกระทบ: การเยี่ยมชมเว็บไซต์ที่ประสงค์ร้ายอาจส่งผลให้เกิดการส่งสคริปต์ข้ามไซต์

คำอธิบาย: มีช่องโหว่ด้านการส่งสคริปต์ข้ามไซต์ใน Safari ซึ่งทำให้เว็บไซต์ที่ประสงค์ร้ายสามารถกำหนดคุณสมบัติหน้าต่าง JavaScript ของเว็บไซต์ที่มาจากโดเมนที่ต่างกัน ผู้โจมตีสามารถสร้างปัญหาขึ้น ซึ่งส่งผลให้ได้รับข้อมูลหรือสามารถกำหนดสถานะหน้าต่างและตำแหน่งที่ตั้งของหน้าที่มาจากเว็บไซต์อื่น โดยใช้วิธีชักชวนให้ผู้ใช้เยี่ยมชมเว็บเพจที่ออกแบบมาเพื่อประสงค์ร้าย การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการให้การควบคุมการเข้าถึงที่ปรับปรุงแล้วสำหรับคุณสมบัติเหล่านี้ ขอขอบคุณ Michal Zalewski จาก Google Inc. ที่รายงานปัญหานี้

Safari

CVE-ID: CVE-2007-3759

ผลกระทบ: การปิดใช้งาน JavaScript ไม่มีผลจนกว่าจะรีสตาร์ท Safari

คำอธิบาย: สามารถกำหนดค่า Safari เพื่อเปิดใช้งานหรือปิดใช้งาน JavaScript ได้ การตั้งค่านี้ไม่มีผลจนกว่าจะรีสตาร์ท Safari ครั้งถัดไป ซึ่งมักเกิดขึ้นเมื่อรีสตาร์ท iPhone ซึ่งอาจทำให้ผู้ใช้เข้าใจผิดและเชื่อว่าปิดใช้งาน JavaScript อยู่ในขณะที่ไม่ได้ปิดใช้งาน การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการปรับใช้การตั้งค่าใหม่ก่อนที่จะโหลดเว็บเพจใหม่

Safari

CVE-ID: CVE-2007-3760

คำอธิบาย: ปัญหาการส่งสคริปต์ข้ามไซต์ใน Safari ทำให้เว็บไซต์ที่ออกแบบมาเพื่อประสงค์ร้ายสามารถบายพาสนโยบายแหล่งที่มาเดียวกันโดยใช้แท็ก "เฟรม" ผู้โจมตีสามารถสร้างปัญหาขึ้น ซึ่งอาจส่งผลให้มีการใช้ JavaScript ในบริบทของเว็บไซต์อื่นได้ โดยใช้วิธีชักชวนให้ผู้ใช้เยี่ยมชมเว็บเพจที่ออกแบบมาเพื่อประสงค์ร้าย การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการไม่อนุญาตให้ใช้ JavaScript เป็นแหล่งที่มา "iframe" และจำกัดให้ JavaScript ในแท็กเฟรมใช้การเข้าถึงแบบเดียวกันกับเว็บไซต์ที่เป็นต้นทางของการเข้าถึงนั้น ขอขอบคุณ Michal Zalewski จาก Google Inc. และ Secunia Research ที่รายงานปัญหานี้

Safari

CVE-ID: CVE-2007-3761

คำอธิบาย: ปัญหาการส่งสคริปต์ข้ามไซต์ใน Safari ทำให้เหตุการณ์ JavaScript ถูกเชื่อมโยงกับเฟรมที่ไม่ถูกต้อง ผู้โจมตีอาจทำให้เกิดการใช้ JavaScript ในบริบทของเว็บไซต์อื่น โดยใช้วิธีชักชวนให้ผู้ใช้เยี่ยมชมเว็บเพจที่ออกแบบมาเพื่อประสงค์ร้าย การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการเชื่อมโยงเหตุการณ์ JavaScript กับเฟรมแหล่งที่มาที่ถูกต้อง

Safari

CVE-ID: CVE-2007-4671

ผลกระทบ: JavaScript บนเว็บไซต์อาจเข้าถึงหรือดัดแปลงเนื้อหาของเอกสารที่มาจาก HTTPS ได้

คำอธิบาย: ปัญหาใน Safari จะทำให้เนื้อหาที่มาจาก HTTP สามารถเปลี่ยนหรือเข้าถึงเนื้อหาที่มาจาก HTTPS ในโดเมนเดียวกันได้ ผู้โจมตีอาจทำให้เกิดการใช้ JavaScript ในบริบทของเว็บเพจ HTTPS ในโดเมนนั้น โดยใช้วิธีชักชวนให้ผู้ใช้เยี่ยมชมเว็บเพจที่ออกแบบมาเพื่อประสงค์ร้าย การอัปเดตนี้จะแก้ไขปัญหาดังกล่าวด้วยการจำกัดการเข้าถึงระหว่าง JavaScript ที่ใช้งานในเฟรม HTTP กับเฟรม HTTPS ขอขอบคุณ Keigo Yamazaki จาก LAC Co., Ltd. (Little eArth Corporation Co., Ltd.) ที่รายงานปัญหานี้

หมายเหตุการติดตั้ง:

การอัปเดตนี้พร้อมให้ใช้งานเฉพาะใน iTunes และจะไม่ปรากฏในแอปพลิเคชันการอัปเดตซอฟต์แวร์ของคอมพิวเตอร์ของคุณ หรือในเว็บไซต์ดาวน์โหลดของ Apple ตรวจสอบให้แน่ใจว่าคุณได้เชื่อมต่ออินเทอร์เน็ตอยู่และติดตั้ง iTunes เวอร์ชั่นล่าสุดแล้วจาก www.apple.com/itunes

iTunes จะตรวจสอบรายการอัปเดตของ Apple ตามกำหนดการรายสัปดาห์โดยอัตโนมัติ เมื่อตรวจพบรายการอัปเดต ระบบจะดาวน์โหลดรายการนั้นไว้ เมื่อเชื่อมต่อ iPhone แล้ว iTunes จะแสดงตัวเลือกสำหรับติดตั้งรายการอัปเดตให้ผู้ใช้ เราขอแนะนำให้ดำเนินการอัปเดตโดยทันทีหากทำได้ หากเลือก "ไม่ติดตั้ง" ตัวเลือกเดิมจะปรากฏขึ้นเมื่อคุณเชื่อมต่อ iPhone ของคุณอีกครั้ง

กระบวนการอัปเดตแบบอัตโนมัติอาจใช้เวลามากถึงหนึ่งสัปดาห์โดยขึ้นอยู่กับวันที่ที่ iTunes ตรวจสอบหารายการอัปเดต คุณสามารถรับรายการอัปเดตด้วยตนเองได้โดยกดปุ่ม "ตรวจสอบหารายการอัปเดต" ใน iTunes หลังจากกดปุ่มดังกล่าว คุณจะสามารถใช้รายการอัปเดตนี้ได้เมื่อ iPhone เชื่อมต่อกับคอมพิวเตอร์ของคุณ

หากต้องการตรวจสอบว่า iPhone ได้รับการอัปเดตแล้วหรือไม่ ให้ดำเนินการดังนี้

ไปยังการตั้งค่า
คลิกทั่วไป
คลิกเกี่ยวกับ เวอร์ชั่นหลังจากใช้รายการอัปเดตนี้จะเป็น "1.1.1 (3A109a)"

วันที่เผยแพร่: 11 เมษายน 2567