为保护我们的客户,在未进行详尽调查并推出必要的修补程序或发行版之前,Apple 不会公开、讨论或确认安全性问题。要了解有关 Apple 产品安全性的更多信息,请参阅“Apple 产品安全性”网站。
有关 Apple 产品安全性 PGP 密钥的信息,请参阅“如何使用 Apple 产品安全性 PGP 密钥”。
如果可能,请使用 CVE ID 来查阅漏洞的详细信息。
要了解有关其他安全性更新的信息,请参阅“Apple 安全性更新”。
iOS 8.1
- 
	
- 
	
蓝牙


	适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型


	影响:恶意蓝牙输入设备可能会绕过配对


	说明:允许从人机接口设备类蓝牙低能耗配件中进行未加密连接。如果 iOS 设备与此类配件配对,则攻击者可以伪造合法配件来建立连接。此问题已通过拒绝未加密 HID 连接得到解决。


	CVE-ID


	CVE-2014-4428:iSEC Partners 的 Mike Ryan

	 

- 
	
- 
	
House Arrest


	适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型


	影响:可以在没有足够加密保护的情况下对传输到设备的文件进行写操作。


	说明:文件可以传输到 app 的 Documents 目录下,并仅使用通过硬件 UID 保护的密钥对传输的文件进行加密。此问题已通过用受硬件 UID 和用户密码保护的密钥对传输的文件加密得到解决。


	CVE-ID


	CVE-2014-4448:Jonathan Zdziarski 和 Kevin DeLong

	 

- 
	
- 
	
iCloud 数据访问


	适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型


	影响:拥有特权网络地位的攻击者可能会强制 iCloud 数据访问客户端泄漏敏感信息


	说明:iCloud 数据访问客户端中存在 TLS 证书验证漏洞。此问题已通过改进证书验证得到解决。


	CVE-ID


	CVE-2014-4449:USAA 的 Carl Mehner

	 

- 
	
- 
	
键盘


	适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型


	影响:QuickType 可能会获取用户凭证


	说明:在元素之间切换时,QuickType 可能会获取用户凭证。此问题已通过以下方式得到解决:QuickType 不从停用自动填充功能的字段中获取信息,在原有 WebKit 的 DOM 输入元素之间切换时,不重新应用此条件。


	CVE-ID


	CVE-2014-4450

	 

- 
	
- 
	
安全传输


	适用于:iPhone 4s 及更新机型、iPod touch(第 5 代)及更新机型、iPad 2 及更新机型


	影响:攻击者或许能够解密受 SSL 保护的数据


	说明:密码组在 CBC 模式中使用分组密码时存在对 SSL 3.0 保密性的已知攻击。即使服务器支持更好的 TLS 版本,攻击者也可以通过阻止 TLS 1.0 及更高版本的连接尝试来强制使用 SSL 3.0。此问题已通过在 TLS 连接尝试失败时停用 CBC 密码组得到解决。


	CVE-ID


	CVE-2014-3566:Google 安全团队的 Bodo Moeller、Thai Duong 和 Krzysztof Kotowicz