关于 iOS 8.1 的安全性内容

本文介绍了 iOS 8.1 的安全性内容

为保护我们的客户,在未进行详尽调查并推出必要的修补程序或发行版之前,Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息,请参阅“Apple 产品安全性”网站。

有关 Apple 产品安全性 PGP 密钥的信息,请参阅“如何使用 Apple 产品安全性 PGP 密钥”。

如果可能,请使用 CVE ID 来查阅漏洞的详细信息。

要了解有关其他安全性更新的信息,请参阅“Apple 安全性更新”。

iOS 8.1

  • 蓝牙

    适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型

    影响:恶意蓝牙输入设备可能会绕过配对

    说明:允许从人机接口设备类蓝牙低能耗配件中进行未加密连接。如果 iOS 设备与此类配件配对,则攻击者可以伪造合法配件来建立连接。此问题已通过拒绝未加密 HID 连接得到解决。

    CVE-ID

    CVE-2014-4428:iSEC Partners 的 Mike Ryan

  • House Arrest

    适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型

    影响:可以在没有足够加密保护的情况下对传输到设备的文件进行写操作。

    说明:文件可以传输到 app 的 Documents 目录下,并仅使用通过硬件 UID 保护的密钥对传输的文件进行加密。此问题已通过用受硬件 UID 和用户密码保护的密钥对传输的文件加密得到解决。

    CVE-ID

    CVE-2014-4448:Jonathan Zdziarski 和 Kevin DeLong

  • iCloud 数据访问

    适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型

    影响:拥有特权网络地位的攻击者可能会强制 iCloud 数据访问客户端泄漏敏感信息

    说明:iCloud 数据访问客户端中存在 TLS 证书验证漏洞。此问题已通过改进证书验证得到解决。

    CVE-ID

    CVE-2014-4449:USAA 的 Carl Mehner

  • 键盘

    适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型

    影响:QuickType 可能会获取用户凭证

    说明:在元素之间切换时,QuickType 可能会获取用户凭证。此问题已通过以下方式得到解决:QuickType 不从停用自动填充功能的字段中获取信息,在原有 WebKit 的 DOM 输入元素之间切换时,不重新应用此条件。

    CVE-ID

    CVE-2014-4450

  • 安全传输

    适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型

    影响:攻击者或许能够解密受 SSL 保护的数据

    说明:密码组在 CBC 模式中使用分组密码时存在对 SSL 3.0 保密性的已知攻击。即使服务器支持更好的 TLS 版本,攻击者也可以通过阻止 TLS 1.0 及更高版本的连接尝试来强制使用 SSL 3.0。此问题已通过在 TLS 连接尝试失败时停用 CBC 密码组得到解决。

    CVE-ID

    CVE-2014-3566:Google 安全团队的 Bodo Moeller、Thai Duong 和 Krzysztof Kotowicz

有关非 Apple 制造的产品或非 Apple 控制或测试的独立网站的信息仅供参考,不代表 Apple 的任何建议或保证。Apple 对于第三方网站或产品的选择、性能或使用不承担任何责任。Apple 对于第三方网站的准确性和可靠性不作任何担保。互联网的使用具有一定风险。请联系供应商以了解其他信息。其他公司和产品名称可能是其各自所有公司的商标。

发布日期: