关于 iPhone v1.0.1 更新的安全性内容
本文介绍了 iPhone v1.0.1 更新中的安全性内容，可以按照下文所述通过 iTunes 进行下载和安装。
为了保护我们的客户，在进行详尽调查并推出任何必要的修补程序或发行版之前，Apple 不会透露、讨论或确认安全性问题。要进一步了解 Apple 产品安全性，请参阅“Apple 产品安全性”网站。
如需了解 Apple 产品安全性 PGP 密钥，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。
在可能的情况下，我们会使用 CVE ID 来引用相应的漏洞以提供更多信息。
如需了解其他安全性更新，请参阅“Apple 安全性更新”。
iPhone v1.0.1 更新
Safari
CVE-ID：CVE-2007-2400
适用于：iPhone v1.0
影响：访问恶意网站可能允许跨站点脚本处理。
描述：Safari 浏览器的安全模型阻止远程网页中的 JavaScript 修改其域外的页面。页面更新中的竞态条件与 HTTP 重定向相结合，可能会允许 JavaScript 从一个页面修改重定向的页面。这可能会允许读取或任意修改 Cookie 和页面。此更新通过更正窗口属性的访问控制解决了这个问题。由衷感谢 Adobe Systems, Inc.的 Lawrence Lai、Stan Switzer 和 Ed Rowe 报告此问题。
Safari
CVE-ID：CVE-2007-3944
适用于：iPhone v1.0
影响：查看恶意制作的网页可能会导致任意代码执行。
描述：Safari 浏览器中 JavaScript 引擎使用的 Perl 兼容正则表达式 (PCRE) 库中存在堆缓冲区溢出。攻击者通过诱使用户访问恶意制作的网页，可能会触发这个问题，这可能会导致任意代码执行。此更新通过对 JavaScript 正则表达式进行额外验证解决了这个问题。由衷感谢 Independent Security Evaluators 的 Charlie Miller and Jake Honoroff 报告此问题。
WebCore
CVE-ID：CVE-2007-2401
适用于：iPhone v1.0
影响：访问恶意网站可能允许跨站点请求。
描述：将标头序列化为 HTTP 请求时，XMLHttpRequest 中存在 HTTP 注入问题。攻击者通过诱使用户访问恶意制作的网页，可能会触发跨站点脚本处理问题。此更新通过对标头参数进行额外验证解决了这个问题。由衷感谢 Westpoint Ltd. 的 Richard Moore 报告此问题。
WebKit
CVE-ID：CVE-2007-3742
适用于：iPhone v1.0
影响：URL 中的相似字符可被用于伪装网站。
描述：Safari 浏览器中嵌入的国际域名 (IDN) 支持和 Unicode 字体可用于创建包含相似字符的 URL。恶意网站中可能会利用这样的 URL，将用户引导到看起来如同合法域名的伪造网站。此更新通过改进域名验证检查解决了这个问题。由衷感谢 Business Architects Inc. 的 Tomohito Yoshino 报告此问题。
WebKit
CVE-ID：CVE-2007-2399
适用于：iPhone v1.0
影响：访问恶意制作的网站可能会导致应用程序意外终止或任意代码执行。
描述：在渲染帧集时，无效的类型转换可能会导致内存损坏。访问恶意制作的网页可能会导致应用程序意外终止或任意代码执行。由衷感谢 Westnet 的 Rhys Kidd 报告此问题。
安装说明
此更新仅通过 iTunes 提供，不会出现在电脑的“软件更新”应用程序中或 Apple 支持下载网站上。请确保连入了互联网，并且安装了最新版本的 iTunes (www.apple.com/cn/itunes)。
iTunes 会根据每周时间表自动检查 Apple 的更新服务器。检测到更新时，它会下载更新。iPhone 连接到电脑上时，iTunes 会向用户提供安装更新的选项。如有可能，建议你立即应用更新。如果选择“不安装”，下次连接 iPhone 时会再次显示这个选项。自动更新过程最多可能需要一周时间，具体取决于 iTunes 检查更新的日期。
你可以通过 iTunes 中的“检查更新”按钮或菜单选项来手动获取更新。这样做后，iPhone 连接到电脑上时就可应用更新了。
检查确认 iPhone 已完成更新：
前往 iPhone 上的“设置”。
点按“通用”。
点按“关于本机”。应用此更新后的版本将是“1.0.1 (1C25)”。