关于 iTunes 8.1 的安全性内容

这篇文稿介绍了 iTunes 8.1 的安全性内容。

为保护我们的客户，在未进行详尽调查并推出必要的修补程序或发布版本之前，Apple 不会公开、讨论或确认安全性问题。要进一步了解 Apple 产品安全性，请参阅“Apple 产品安全性”网站。

如需了解 Apple 产品安全性 PGP 密钥，请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

在可能的情况下，我们会使用 CVE ID 来引用相应的漏洞以提供更多信息。

要了解其他安全性更新，请参阅“Apple 安全性更新”。

iTunes 8.1

• iTunes

  CVE-ID：CVE-2009-0016

  适用于：Windows XP 或 Vista

  影响：发送恶意制作的 DAAP 信息可能会导致服务遭拒

  描述：处理 iTunes 数字音频访问协议 (DAAP) 信息时存在无限循环。发送 DAAP 标头中包含恶意制作的 Content-Length 参数的信息可能会导致服务遭拒。这一更新通过对 DAAP 信息进行额外验证，解决了这个问题。这个问题不会影响 Mac OS X 系统。感谢 Fortinet 旗下 FortiGuard 全球安全研究团队的 Xiaopeng Zhang、Zhenhua Liu 和 Junfeng Jia 报告这个问题。

• iTunes

  CVE-ID：CVE-2009-0143

  适用于：Mac OS X v10.4.10 或更高版本、Mac OS X Server v10.4.10 或更高版本、Windows XP 或 Vista

  影响：订阅恶意播客可能会导致 iTunes 用户名和密码泄露

  描述：iTunes 的播客功能存在设计问题。订阅恶意播客可能会导致向用户显示一个认证对话框。这个对话框可能会吸引用户向播客服务器发送 iTunes 凭证。这一更新通过在对话框中阐明认证请求的来源，解决了这个问题。感谢 Simon Bellwood 报告这个问题。